YesWiki: Unauthentifizierte SQL-Injection über die Bazar-Eintrags-Suche-API

Zusammenfassung

Die öffentliche Bazar-Suche-API von YesWiki maskiert Feldnamen aus den Parametern query und searchfields nicht ausreichend, bevor sie in einen backtick-begrenzten SQL-Alias eingesetzt werden. Ein unauthentifizierter Angreifer aus dem Netz kann SQL-SELECT-Ausdrücke einschleusen und so Datenbankinhalte wie Passwort-Hashes auslesen oder Datenbank-Threads mit SLEEP() blockieren. Für den Angriff genügt eine erreichbare YesWiki-Instanz mit mindestens einem Bazar-Formular, eine Anmeldung ist nicht nötig.

Betroffen

• YesWiki 4.6.0 vor 4.7.0
• YesWiki 5.0.0-alpha1 vor 5.0.0-alpha4
• Die untere Grenze ist in den Quellen uneinheitlich (4.6.0 oder 4.6.7); alle 4.6.x-Installationen bis zur Bestätigung als betroffen behandeln.

Behoben in

• Aktualisierung auf YesWiki 4.7.0
• Aktualisierung auf YesWiki 5.0.0-alpha4
• Ein Backport für ältere 4.6.x-Zweige ist nicht bestätigt.

Umgehung

• Keine Workaround-Massnahme des Herstellers bekannt.
• Generische WAF-Regeln gegen Backticks gefolgt von SQL-Schlüsselwörtern wurden von Drittanbietern vorgeschlagen, lassen sich aber nicht verifizieren und ersetzen das Patchen nicht.

Ausnutzung

• Nicht bekanntermassen aktiv ausgenutzt (kein KEV-Eintrag gefunden).
• Zum Zeitpunkt der Recherche ist kein öffentlicher Exploit-Code bestätigt.
• Die Herstellerwarnung beschreibt ein validiertes, blindes, zeitbasiertes Orakel gegen den unveränderten Code von 4.6.7.

Unsere Empfehlung

• Jede YesWiki-Installation auf die eingesetzte Version prüfen und umgehend auf 4.7.0 oder 5.0.0-alpha4 aktualisieren.
• 4.6.x-Installationen bis zur Klärung der unteren Grenze als betroffen behandeln.
• Falls ein sofortiges Patchen nicht möglich ist, den Zugriff auf das Wiki und die Bazar-API-Routen wo möglich einschränken.
• Datenbank- und Administratorkonten prüfen und nach dem Patchen Passwörter ändern, da Passwort-Hashes offengelegt worden sein könnten.
• Web- und Datenbanklogs auf Anfragen an /api/forms/ oder /api/entries/ mit Backticks oder SQL-Schlüsselwörtern sowie auf ungewöhnlich lange Datenbankabfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-ccp2-6q93-hggh github.com
• GitHub Security Advisory GHSA-hgxv-w4r8-8877 github.com
• VulnCheck advisory for YesWiki 4.6.0 before 4.7.0 www.vulncheck.com
• HOL Guard CVE-2026-116207 entry hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:35.