YesWiki: Unbeschränkter Datei-Upload über den Bazar-CSV-Import

Zusammenfassung

YesWiki vor 4.6.7 erlaubt es einem authentifizierten Administrator, eine CSV-Datei zu importieren, deren Datei- oder Bildfeld auf eine Remote-URL verweist. Der Server speichert die heruntergeladene Datei ohne Prüfung der Dateiendung im webzugänglichen Verzeichnis files/. Wird in diesem Verzeichnis PHP ausgeführt, wie bei der mitgelieferten nginx-Konfiguration, kann ein Angreifer Code auf dem Webserver ausführen. Der Angriff setzt ein gültiges Administratorkonto voraus, und ein öffentlicher Proof of Concept gilt als wahrscheinlich.

Betroffen

• YesWiki-Versionen vor 4.6.7 (die CNA-Daten nennen 0 bis < 4.6.7; das Advisory des Herstellers nennt <= 4.6.6)
• Composer-Paket yeswiki/yeswiki

Behoben in

• Version 4.6.7 behebt diese CVE (Fix-Commit 07120ed8971047f504f7ec78060828f1895f475f)
• Version 4.7.0 oder neuer behebt zusätzlich die verwandte SSRF-Schwachstelle im CSV-Import CVE-2026-116827

Umgehung

• Für diese CVE ist keine Workaround-Massnahme des Herstellers dokumentiert.
• Den Bazar-CSV-Import deaktivieren, falls er nicht benötigt wird (Ableitung aus der verwandten CVE-2026-116827, keine dokumentierte Behebung für diese CVE).
• Administratorkonten einschränken und starke Passwörter sowie MFA erzwingen, sofern unterstützt.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• CISA SSVC: Exploitation 'poc', Automatisierbarkeit 'nein', technische Auswirkung 'total'.
• CISA KEV: nicht gelistet. EPSS: 0.00372.

Unsere Empfehlung

• Alle YesWiki-Instanzen und deren Versionen erfassen; alles vor 4.6.7 ist betroffen.
• Auf 4.7.0 oder die neueste Version aktualisieren.
• Bis zur Aktualisierung Administratorkonten einschränken, den Bazar-CSV-Import deaktivieren, falls ungenutzt, und das Verzeichnis files/ auf unerwartete PHP-Dateien prüfen.
• Kürzlich durchgeführte Bazar-CSV-Importe auf Remote-URLs prüfen.
• Angaben vor dem Rollout mit dem GitHub-Advisory abgleichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v3gq-c7c6-mxw3 github.com
• VulnCheck advisory: YesWiki before 4.6.7 Unrestricted File Upload via Bazar CSV Import www.vulncheck.com
• OSV entry CVE-2026-104471 osv.dev
• OpenCVE CVE-2026-104471 app.opencve.io
• OpenCVE CVE-2026-116827 (related CSV import SSRF) app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:24.