YesWiki: Unauthentifizierte Server-Side Request Forgery über ActivityPub-Inbox

Zusammenfassung

YesWiki vor 4.6.7 erlaubt unauthentifizierten Angreifern, über die öffentliche ActivityPub-Actor-Inbox von Formularen den Server beliebige GET- und POST-Anfragen an frei wählbare URLs senden zu lassen. Der Angreifer signiert eine Follow-Aktivität mit seinem eigenen Schlüssel und gibt im Body interne URLs an, die der Server nicht prüft. Antworten werden dem Angreifer nicht direkt zurückgegeben, doch interne Hosts und Cloud-Metadatendienste sind blind erreichbar; ActivityPub muss dafür auf mindestens einem Formular aktiviert sein.

Betroffen

• YesWiki bis einschliesslich 4.6.6 (Angabe des CNA: alle Versionen vor 4.6.7)
• Voraussetzung: ActivityPub ist auf mindestens einem Bazar-Formular aktiviert
• Abweichende Angabe einer Drittquelle (4.6.2 bis 4.6.7); alle Versionen unterhalb 4.6.7 als betroffen behandeln

Behoben in

• Behoben in YesWiki 4.6.7

Umgehung

• Keine für diese CVE bestätigte Workaround-Massnahme.
• Falls ein Upgrade nicht sofort möglich ist, den Zugriff auf die öffentliche ActivityPub-Inbox-Route (/api/forms/{formId}/actor/inbox) einschränken und ActivityPub-Funktionen deaktivieren. Diese Empfehlung stammt aus einer verwandten Advisory (CVE-2026-116825) und ist für diese CVE nicht bestätigt.

Ausnutzung

• CISA SSVC bewertet die Ausnutzung als "poc", es existiert also ein öffentlicher Proof of Concept; Automatisierbarkeit ist "no".
• Es wurden keine Berichte über aktive Ausnutzung in freier Wildbahn gefunden.
• EPSS: 0.00254.

Unsere Empfehlung

• Alle YesWiki-Instanzen auf 4.6.7 oder neuer aktualisieren.
• Alle Instanzen und deren Versionen erfassen und prüfen, ob ActivityPub auf einem Formular aktiviert ist.
• Ausgehende Anfragen des Webservers in interne Netze und an Cloud-Metadatenadressen als zusätzliche Schutzmassnahme einschränken.
• Die verwandten CVEs derselben Serie (CVE-2026-104459, CVE-2026-104464, CVE-2026-104445) gemeinsam patchen.
• Webserver-Logs auf Anfragen an /api/forms/ und */actor/inbox aus unbekannten Quellen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-x623-wwf6-f6wp github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-104463 osv.dev
• CNA record via Vulners vulners.com
• YesWiki 4.6.7 release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:17.