YesWiki: Server-side Request Forgery in Bazar-Abonnements-Synchronisation

Zusammenfassung

YesWiki vor 4.6.7 enthält eine Server-side Request Forgery (SSRF) Schwachstelle in der Synchronisationsaktion der Bazar-Abonnements. Ein nicht authentifizierter Angreifer kann eine beliebige Actor-URL angeben, wodurch der Server GET-Anfragen an interne Hosts oder Cloud-Metadaten-Endpunkte sendet. Abgerufene Antworten können als lesbare Bazar-Einträge gespeichert werden, wodurch interne Daten offengelegt werden können; für den Angriff sind keine Rechte nötig, sofern die Hosting-Seite öffentlich ist, was der Standard ist.

Betroffen

• YesWiki yeswiki, alle Versionen vor 4.6.7 (Bereich laut CNA: 0 bis unter 4.6.7)
• Einige Quellen nennen den engeren Bereich 4.6.2 bis 4.6.7; alle Versionen unter 4.6.7 gelten als betroffen.

Behoben in

• Auf YesWiki 4.6.7 oder neuer aktualisieren.

Umgehung

• Vom Hersteller ist kein Workaround dokumentiert.
• Prüfen, ob die Synchronisationsfunktion der Bazar-Abonnements verwendet wird.
• Ausgehende HTTP-Anfragen des Webservers einschränken, insbesondere zu Link-Local- und Cloud-Metadaten-Adressen (eigene Empfehlung, nicht vom Hersteller dokumentiert).

Ausnutzung

• CISA-SSVC im CVE-Eintrag: Exploitation "poc", Automatable "yes".
• Kein KEV-Eintrag bekannt.
• Während der Recherche wurde kein öffentliches Exploit-Repository gefunden; der PoC-Status ist wie gemeldet und nicht unabhängig geprüft.

Unsere Empfehlung

• Alle YesWiki-Instanzen und deren Versionen inventarisieren; alles unter 4.6.7 ist betroffen.
• Aus dem Internet erreichbare Instanzen vorrangig auf 4.6.7 oder neuer aktualisieren.
• Prüfen, ob die Synchronisationsfunktion der Bazar-Abonnements aktiviert ist, und Webserver-Logs auf ungewöhnliche ausgehende Anfragen prüfen.
• Ausgehenden Verkehr des Webservers zu Metadaten- und internen Adressbereichen als vorübergehende Massnahme einschränken.
• Falls YesWiki auf Cloud-VMs läuft und ein Angriff vermutet wird, Zugangsdaten rotieren, die über den Metadaten-Dienst offengelegt sein könnten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-wcjp-v62j-p5xm github.com
• VulnCheck advisory www.vulncheck.com
• OSV CVE-2026-104464 osv.dev
• OpenCVE CVE-2026-104464 app.opencve.io
• Vulners CVELIST CVE-2026-104464 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:48.