YesWiki: Server-side Request Forgery im Bazar-CSV-Import
Zusammenfassung
YesWiki vor 4.7.0 enthält eine Server-side Request Forgery (SSRF) in der Funktion copyUrlToLocalFile() des Bazar-CSV-Imports. Ein authentifizierter Administrator, der eine präparierte CSV-Datei importiert, kann den Server veranlassen, interne Dienste, Cloud-Metadaten-Endpunkte oder lokale Dateien über file:// abzurufen. Die Antworten werden im öffentlich erreichbaren Verzeichnis files/ gespeichert, wo sie von jedem Besucher gelesen werden können. Die Prüfung der Dateiendung lässt sich mit einem Query-String-Suffix oder über Weiterleitungen umgehen.
Betroffen
- YesWiki-Versionen vor 4.7.0
- Gemäss GitHub-Advisory betroffener Bereich: bis 4.6.7
Behoben in
- Aktualisierung auf YesWiki 4.7.0 oder neuer
- Rückportierte Fixes für 4.6.x: Unbekannt.
Umgehung
Unbekannt. Vom Hersteller ist kein Workaround dokumentiert.
Ausnutzung
- Administratorrechte (PR:H) sind erforderlich, ohne Benutzerinteraktion.
- Öffentlicher Exploit-Code: Gemäss OffSeq nicht bekannt.
- Ausnutzung in der Praxis: Gemäss OffSeq nicht als ausgenutzt bekannt; gemäss Strix nicht im CISA-KEV-Katalog (nicht direkt überprüft).
Unsere Empfehlung
- YesWiki auf 4.7.0 oder neuer aktualisieren, zuerst Internet-exponierte und in der Cloud gehostete Instanzen.
- Bis zur Aktualisierung die Admin-Rolle auf eine minimale Anzahl namentlich bekannter Konten beschränken.
- Ausgehende Verbindungen des Webservers einschränken und den Zugriff auf Cloud-Metadaten-Endpunkte (169.254.169.254) vom Webhost blockieren.
- Verzeichnis files/ auf unerwartete Inhalte prüfen und Admin-Konten überprüfen.
- Falls der Server in einer Cloud-VM läuft, eventuell offengelegte Cloud-Zugangsdaten rotieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-v38g-qc7g-q3mq github.com
- VulnCheck advisory www.vulncheck.com
- OffSeq Radar threat entry radar.offseq.com
- OpenCVE CVE-2026-116827 app.opencve.io
- ThreatInt CVE-2026-116827 cve.threatint.com
- Strix CVE-2026-116827 www.strix.ai
- YesWiki release v4.6.7 github.com
- NixOS nixpkgs tracking issue github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.