YesWiki: SQL-Injection bei Bazar-Eintragserstellung über date_maj_fiche

Zusammenfassung

YesWiki-Versionen ab 4.5.0 bis vor 4.7.0 enthalten eine SQL-Injection bei der Erstellung von Bazar-Einträgen. Das Feld date_maj_fiche wird in PageManager::save() ungeschützt in ein INSERT-Statement eingefügt. Auf einer Standardinstallation kann ein nicht angemeldeter Angreifer so Daten aus der Datenbank auslesen, etwa Passwort-Hashes von Wiki-Benutzern, was Offline-Knacken und die Übernahme von Administratorkonten ermöglichen kann. Der Angriff erfordert weder ein Konto noch eine Benutzerinteraktion.

Betroffen

• YesWiki 4.5.0 bis vor 4.7.0
• VulDB gibt den Bereich als 4.5.0 bis 4.6.x an

Behoben in

• Behoben in YesWiki 4.7.0 (laut GitHub-Advisory GHSA-wjf7-hrf3-9gcx)

Umgehung

Unbekannt. Das Advisory des Herstellers beschreibt keine Workaround-Massnahme.

• VulDB empfiehlt, Endpunkte zur Erstellung von Bazar-Einträgen auf angemeldete Benutzer zu beschränken. Dies kann öffentliche Formulare beeinträchtigen, daher vorgängig testen.
• VulDB empfiehlt WAF-Regeln für SQL-Injection-Muster als reine Übergangslösung. Sie ersetzen kein Patchen.

Ausnutzung

• CVSS v4.0-Bewertung 8.8; NVD-Status Deferred.
• CISA SSVC stuft die Ausnutzung als 'poc' und die Automatisierbarkeit als ja ein.
• ThehackerWire meldet zum jetzigen Zeitpunkt keinen bestätigten öffentlichen Exploit-Code.
• Laut Research-Notizen nicht im CISA-KEV-Katalog aufgeführt; nicht direkt überprüft.

Unsere Empfehlung

• Alle YesWiki-Instanzen und deren Versionen inventarisieren.
• Jede Installation ab 4.5.0 bis 4.7.0 auf Version 4.7.0 oder neuer aktualisieren.
• Bis zur Aktualisierung die öffentliche Erstellung von Bazar-Einträgen nach Möglichkeit einschränken oder deaktivieren.
• Datenbank- und Benutzerprotokolle auf ungewöhnliche Bazar-Eingaben prüfen.
• Bei Verdacht auf eine Kompromittierung Passwörter der Wiki-Benutzer sowie mehrfach verwendete Zugangsdaten ändern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-wjf7-hrf3-9gcx github.com
• VulnCheck advisory for CVE-2026-116211 www.vulncheck.com
• VulDB CVE-2026-116211 vuldb.com
• VulDB vulnerability 426263 vuldb.com
• OpenCVE CVE-2026-116211 app.opencve.io
• ThehackerWire CVE-2026-116211 www.thehackerwire.com
• Related advisory GHSA-hgxv-w4r8-8877 github.com
• YesWiki release v4.6.7 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:35.