YesWiki: Nicht authentifizierte Blind SQL Injection in der Aktion newtextsearch

Zusammenfassung

YesWiki vor 4.6.7 enthält eine Blind SQL Injection in der Aktion {{newtextsearch}}, die Bazar-Listen durchsucht. Die IDs der Bazar-Listenoptionen werden ohne Escaping in SQL-Abfragen eingefügt. Ein anonymer Angreifer, der eine anonym bearbeitbare Bazar-Liste bearbeiten kann, kann eine manipulierte Options-ID einschleusen und Suchanfragen als boolesches Orakel nutzen, um beliebige Datenbankinhalte auszulesen, einschliesslich Admin-Passwort-Hashes.

Betroffen

• YesWiki-Versionen vor 4.6.7 (Composer-Paket yeswiki/yeswiki)
• Ausnutzung erfordert eine Bazar-Liste, die anonymes Bearbeiten erlaubt, sowie eine Seite mit {{newtextsearch}}
• Die erste betroffene Version ist unbekannt; die Quellen widersprechen sich.

Behoben in

• Auf YesWiki 4.6.7 oder neuer aktualisieren.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Bearbeitung von Bazar-Listen bis zur Aktualisierung auf authentifizierte Benutzer beschränken.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar ja, technische Auswirkung partiell.
• Ein öffentliches Proof-of-Concept-Skript wird im Advisory und in Datensätzen referenziert; keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Nicht in CISA KEV gelistet. EPSS 0.00385.

Unsere Empfehlung

• Alle YesWiki-Instanzen und deren Versionen inventarisieren, inklusive Composer-Installationen.
• Auf YesWiki 4.6.7 oder neuer aktualisieren.
• Bazar-Listen prüfen, die anonymes Bearbeiten erlauben, und einschränken.
• Admin-Passwörter nach dem Patch zurücksetzen, da Hashes vor dem Fix offengelegt worden sein könnten.
• Web- und Datenbanklogs auf ungewöhnliche Suchanfragen prüfen, bei Instanzen, die vor dem Patch exponiert waren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-4333-x9p4-8xj7 github.com
• VulnCheck advisory: YesWiki before 4.6.7 Unauthenticated Blind SQL Injection www.vulncheck.com
• YesWiki release v4.6.7 github.com
• OSV: CVE-2026-104460 osv.dev
• Vulners CVE-2026-104460 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:00.