Podatności YesWiki

YesWiki od wersji 4.6.2 przed 4.7.0 zawiera podatność braku autoryzacji w ActivityPubService::syncActorPosts, która pozwala złośliwym serwerom ActivityPub manipulować lustrzanymi wpisami innych aktorów. Atakujący mogą dostarczyć zatruty outbox z aktywnościami Delete, Update lub Create podczas synchronizacji inicjowanej przez administratora.

YesWiki przed wersją 4.7.0 zawiera podatność cross-site request forgery w akcji despam (tools/security/actions/despam.php), która pozwala nieuwierzytelnionym atakującym usuwać lub przywracać strony w sesji administratora. Atakujący mogą umieścić na stronie wiki automatycznie wysyłający się formularz HTML, który po wyświetleniu przez administratora usuwa PagePrincipale, strony konfiguracyjne lub nadpisuje treść.

Brak autoryzacji w obsłudze pobierania załączników w YesWiki przed wersją 4.6.7 umożliwia nieuwierzytelnionym atakującym ominięcie ACL odczytu stron. Mogą oni pobrać poufne załączniki ze stron z ograniczonym dostępem, znając tag strony i parametr pliku.

Nieograniczone przesyłanie plików w YesWiki przed wersją 4.6.7 pozwala uwierzytelnionym administratorom zapisywać zdalne pliki do katalogu files/ dostępnego z sieci przez podgląd importu CSV Bazar. Mogą oni zaimportować CSV, którego pole pliku lub obrazu odnosi się do zdalnego pliku .php, który jest zapisywany bez sprawdzenia rozszerzenia i wykonywany jako kod serwera.

YesWiki przed wersją 4.6.7 zawiera podatność niewystarczającego wygasania sesji, ponieważ tokeny resetowania hasła nie mają znaczników czasu ważności. Atakujący, który zdobędzie nieużywany link resetowania hasła (np. z poczty, logów, kopii zapasowych lub historii przeglądarki), może ustawić nowe hasło przez checkEmailKey() i przejąć konto.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w ApiService::isAuthorized(), która pozwala nieuwierzytelnionym atakującym wywoływać trasy API przeznaczone tylko dla administratorów, gdy włączony jest publiczny tryb API. Atakujący mogą wysyłać żądania do endpointów takich jak api/ci/update_config i api/archives, aby nadpisać konfigurację oraz wyświetlić, pobrać lub usunąć archiwa kopii zapasowych.

YesWiki przed wersją 4.6.7 zawiera podatność przechowywanego XSS w formatters/wakka.php. Użytkownicy mogący edytować strony lub komentować mogą wstrzyknąć obsługę zdarzeń, umieszczając cudzysłowy w adresach URL obrazów markdown, co prowadzi do wykonania JavaScriptu w przeglądarkach przeglądających, w tym administratorów.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać po stronie serwera żądania GET poprzez podanie niezwalidowanego adresu URL aktora w akcji synchronizacji Bazar abonnements. Atakujący mogą kierować żądania do hostów wewnętrznych lub endpointów metadanych chmury oraz łańcuchowo wykorzystywać kontrolowane przez siebie linki outbox first/next, a pobrane odpowiedzi są zapisywane jako czytelne wpisy Bazar.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać żądania po stronie serwera poprzez wysyłanie podpisanych aktywności Follow do publicznej trasy skrzynki odbiorczej aktora formularzy. Atakujący podpisują żądania własnym keyId, podając w treści wewnętrzne adresy URL aktorów, docierając do hostów wewnętrznych lub metadanych chmury poprzez ślepe żądania GET i POST.

YesWiki w wersji przed 4.6.7 zawiera podatność SQL injection w akcji Bazar nuagetag, która konkatenuje nieescapowany atrybut tags do surowej klauzuli SQL IN. Atakujący z prawem zapisu do strony (domyślnie nieuwierzytelnieni) mogą osadzić tag nuagetag kończący się backslashem, aby zaburzyć parzystość cudzysłowów i wstrzyknąć podzapytanie UNION, eksfiltrując hashe haseł i dowolne dane z tabel.

YesWiki w wersji przed 4.6.7 zawiera podatność blind SQL injection w akcji {{newtextsearch}}, ponieważ identyfikatory opcji listy Bazar są konkatenowane do klauzul SQL REGEXP/LIKE w actions/newtextsearch.php bez escapowania. Anonimowi atakujący mogą umieścić złośliwy identyfikator opcji w anonimowo edytowalnej liście Bazar i wykorzystać żądania wyszukiwania jako wyrocznię boolowską do odczytu dowolnych danych z bazy, w tym hashy haseł administratorów z tabeli yeswiki_users.

YesWiki przed wersją 4.6.7 zawiera podatność SSRF w WebfingerService, która pozwala nieuwierzytelnionym atakującym wywołać żądania HTTPS do wewnętrznych hostów. Atakujący może wysłać spreparowany actor_handle z numerycznym hostem i portem do widoku abonnements, aby sondować wewnętrzne usługi HTTPS i porty.

YesWiki przed wersją 4.6.7 zawiera podatność SSRF w validateKeyIdUrl(), która pozwala nieuwierzytelnionym atakującym obejść zabezpieczenie SSRF przy użyciu adresów 6to4, NAT64 lub IPv4-compatible IPv6. Atakujący może wysłać spreparowany Signature keyId do publicznego route'a actor inbox, aby dotrzeć do metadanych chmury, usług loopback lub wewnętrznych hostów.

YesWiki w wersji przed 4.6.7 zawiera podatność second-order SQL injection w AclService::updateRequestWithACL, gdzie zapisana nazwa użytkownika jest konkatenowana bez escapowania do klauzuli LIKE dla read-ACL. Atakujący mogą samodzielnie zarejestrować nazwę konta zawierającą ładunek z podwójnym cudzysłowem, a następnie załadować listy filtrowane przez ACL dla nie-administratorów, aby odczytać zawartość bazy danych i obejść read ACL.

YesWiki przed wersją 4.6.7 zawiera podatność obejścia kontroli dostępu, która pozwala nieuwierzytelnionym atakującym odczytać zastrzeżoną treść stron poprzez akcję RSS recentchangesrssplus. Atakujący może zażądać metody xml strony hostującej akcję, aby uzyskać 500-znakowe fragmenty treści każdej najnowszej strony, w tym zastrzeżonych wersji roboczych i notatek.

YesWiki przed wersją 4.6.7 zawiera podatność typu algorithmic-complexity denial of service w formatterze wakka.php z powodu wyrażenia regularnego O(n^2) dla linków markdown. Nieuwierzytelnieni atakujący mogą wysłać małe spreparowane ciało złożone z nawiasów do endpointu podglądu edycji strony, aby zablokować procesy PHP-FPM i wysycić pulę.

YesWiki przed wersją 4.6.7 zawiera podatność cross-site request forgery w handlerze strony filemanager, który usuwa załączniki stron przy żądaniach GET bez walidacji tokenu CSRF. Atakujący może nakłonić zalogowanego właściciela strony lub administratora do nawigacji GET najwyższego poziomu z do=del, erase lub emptytrash, usuwając lub trwale czyszcząc załączniki strony.

YesWiki w wersjach przed 4.6.7 zawiera podatność CSRF w RevisionsHandler, która pozwala atakującym przywracać stare wersje stron poprzez żądania GET bez walidacji tokenu CSRF. Atakujący może nakłonić użytkownika z uprawnieniami zapisu do przejścia na stronę z parametrem restoreRevisionId, co po cichu nadpisuje aktualną treść strony starą lub zniszczoną wersją.

YesWiki w wersjach przed 4.6.7 zawiera błąd braku autoryzacji w akcji pointimage (tools/attach/actions/pointimage.php), który zapisuje treść na stronie wybranej przez atakującego z pominięciem kontroli ACL zapisu. Nieuwierzytelnieni atakujący mogą wysyłać pola pagetag, title i description do dowolnej strony renderującej {{pointimage}}, aby dołączyć surowy HTML lub JavaScript do dowolnej strony wiki, w tym stron z ograniczeniami ACL zapisu, powodując przechowywany XSS w przeglądarkach przeglądających i administratorów.

YesWiki w wersji przed 4.6.7 zawiera podatność cross-site request forgery (CSRF) w handlerze ajaxdeletepage, który trwale usuwa stronę przy każdym żądaniu GET zawierającym parametr jsonp_callback, bez sprawdzania tokenu CSRF. Atakujący mogą zwabić zalogowanego administratora lub właściciela strony do spreparowanego linku, aby usunąć dowolne strony wraz z ich ACL, linkami, trójkami, komentarzami i odsyłaczami.

YesWiki w wersji przed 4.6.7 zawiera podatność cross-site request forgery (CSRF) w autoupdate UpdateAction, która pozwala atakującym usuwać zainstalowane pakiety poprzez niechronione żądania GET. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku z action=delete i parametrem package, aby usunąć rozszerzenia takie jak bazar, psując podstawową funkcjonalność serwisu.

YesWiki w wersjach przed 4.6.7 zawiera obejście uwierzytelniania w obsłudze AJAX kontaktowego maila, które pozwala nieuwierzytelnionym atakującym wysyłać e-maile przez serwer SMTP wiki. Atakujący mogą wysłać XMLHttpRequest do handlera mail bez parametrów field lub type, podając dowolnego odbiorcę, nadawcę, temat i treść w celu spamu i phishingu.

YesWiki w wersji przed 4.6.7 zawiera obejście zakresu pustego filtra w API usuwania trójek, które pozwala każdemu uwierzytelnionemu użytkownikowi usuwać lub fałszować dowolne trójki semantyczne niezależnie od własności. Atakujący może wysłać pusty filtr do punktu końcowego usuwania trójek, aby usunąć trójkę członkostwa w grupie admins, opróżniając grupę administratorów i powodując blokadę autoryzacji w całej witrynie.

YesWiki w wersjach przed 4.6.7 zawiera nieuwierzytelnioną podatność server-side request forgery, która pozwala zdalnym atakującym zmusić serwer do pobierania dowolnych adresów URL poprzez dostarczenie akcji syndykacji przez parametr content handlera render. Atakujący mogą celować w wewnętrzne hosty i porty, odczytywać pobraną treść kanału w renderowanej stronie oraz powodować pobieranie załączników kanału do katalogu plików.

YesWiki w wersjach przed 4.6.7 zawiera ślepą podatność server-side request forgery, która pozwala nieuwierzytelnionym atakującym wykonywać dowolne żądania po stronie serwera poprzez parametr idtypeannonce w /api/entries/bazarlist. Ponieważ isValidURL() zawsze zwraca true, atakujący mogą podać wewnętrzne adresy URL pobierane przez curl w loadURLContent() w celu sondowania sieci wewnętrznych i docierania do wewnętrznych usług lub punktów końcowych metadanych.

YesWiki w wersjach przed 4.6.7 zawiera podatność enumeracji użytkowników w LostPasswordAction.php, która pozwala nieuwierzytelnionym atakującym potwierdzać zarejestrowane adresy e-mail poprzez różniące się odpowiedzi. Atakujący mogą przesyłać e-maile do strony odzyskiwania MotDePassePerdu bez ograniczeń szybkości, aby identyfikować ważne konta do ukierunkowanego phishingu lub password-sprayingu.

YesWiki w wersjach przed 4.6.7 zawiera podatność braku autoryzacji w akcjach listpagestag i includepages narzędzia tags, które wyliczają strony bez stosowania filtrowania read-ACL. Nieuwierzytelnieni lub nieuprzywilejowani atakujący mogą osadzić te akcje z wybranym tagiem lub nazwą strony, aby ujawnić nazwy i tytuły pochodzące z treści stron z ograniczeniami ACL.

YesWiki w wersjach 4.6.0 przed 4.7.0 oraz 5.0.0-alpha1 przed 5.0.0-alpha4 zawiera nieuwierzytelnioną podatność SQL injection w SearchManager::prepareSearchRequest(). Nazwy pól z parametrów query i searchfields publicznego API wyszukiwania wpisów Bazar są umieszczane w aliasie w cudzysłowach odwrotnych, escapowanym jedynie przez mysqli_real_escape_string, co pozwala na wstrzyknięcie podzapytań.

YesWiki to system wiki napisany w PHP. Przed wersją 4.6.6 występuje uwierzytelniona podatność na wstrzykiwanie obiektów PHP w BazarImportAction przez funkcję unserialize. Problem został naprawiony w wersji 4.6.6.

YesWiki przed wersją 4.6.6 zawiera podatność w akcji wiki {{erasespamedcomments}}, która bez autoryzacji usuwa dowolne strony wiki na podstawie tablicy suppr[] z żądania POST. Domyślny model ACL pozwala każdemu użytkownikowi z prawem zapisu na usuwanie stron, w tym strony głównej i stron administratorów.

YesWiki przed wersją 4.6.4 zawiera nieuwierzytelnioną podatność na SQL injection w ścieżce importu formularzy Bazar (FormManager::create()), co pozwala każdemu odwiedzającemu na wstrzyknięcie dowolnego SQL do instrukcji INSERT i odczytanie całej bazy danych, w tym hashy haseł użytkowników.

YesWiki przed wersją 4.6.6 zawiera lukę niebezpiecznego wykonania w kalkulatorze pól formularza Bazar (CalcField.php), gdzie aplikacja próbuje oczyścić formuły matematyczne za pomocą złożonego wyrażenia regularnego przed przekazaniem ich do eval(), co jest podatne na ReDoS i może prowadzić do wykonania dowolnego kodu PHP.

YesWiki przed wersją 4.7.0 zawiera podatność na wstrzyknięcie SQL w pliku despam.php, gdzie parametr from jest escapowany, ale umieszczany w niecytowanej pozycji INTERVAL. Uwierzytelnieni administratorzy mogą wstrzykiwać SQL poprzez parametr POST from, aby wykonywać ślepe odczyty bazy danych, w tym hashy haseł użytkowników.

YesWiki przed wersją 4.7.0 zawiera podatność typu server-side request forgery w funkcji Bazar CSV import copyUrlToLocalFile(), która pozwala uwierzytelnionym administratorom na wykonywanie dowolnych żądań wychodzących poprzez dostarczanie spreparowanych URLi w polach pliku CSV lub obrazu. Atakujący mogą obejść sprawdzanie rozszerzenia za pomocą sufiksu query-string lub przekierowań, aby pobrać dane uwierzytelniające z metadanych chmury, usług wewnętrznych lub plików lokalnych poprzez file://, a odpowiedzi są przechowywane w publicznie dostępnym katalogu files/.

YesWiki przed wersją 4.7.0 zawiera podatność typu server-side request forgery w DuplicationManager::downloadFile(), która pozwala uwierzytelnionym administratorom na wykonywanie dowolnych żądań wychodzących poprzez tablicę files. Atakujący mogą wysyłać żądania POST z file:// lub wewnętrznymi URLami do /api/pages/{tag}/duplicate, przechowując pliki lokalne, metadane chmury lub dane uwierzytelniające bazy danych w publicznie dostępnym katalogu files/.

YesWiki od wersji 4.6.2 przed 4.7.0 nie posiada ochrony przed powtórzeniem w HttpSignatureService::verifySignature(), która nigdy nie waliduje nagłówka Date ani nie śledzi widzianych podpisów. Atakujący, którzy przechwycą podpisane żądanie do punktu końcowego /api/forms/{formId}/actor/inbox, mogą je później powtórzyć, aby ponownie wykonać akcje Delete, Update, Follow lub Undo.

YesWiki przed wersją 4.7.0 zawiera podatność typu stored cross-site scripting w pliku handlers/page/referrers_sites.php, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez spreparowane nagłówki Referer. Atakujący mogą wysłać nazwę hosta Referer zawierającą metaznaki HTML, które są renderowane bez escapowania, wykonując JavaScript dla każdego odwiedzającego stronę referrer-sites w celu wykonania uwierzytelnionych akcji w tej samej domenie.

YesWiki przed wersją 4.7.0 zawiera podatność typu reflected cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie JavaScript poprzez dostarczanie parametrów zapytania pasujących do brakujących nazw pól Bazar. Atakujący mogą tworzyć linki, w których BazarField::getValue() używa nieoczyszczonych wartości $_REQUEST renderowanych przez szablony Twig |raw, wykonując uwierzytelnione akcje w tej samej domenie w sesjach ofiar.

YesWiki przed wersją 4.7.0 zawiera podatność typu path traversal w BazarListeAction, która pozwala nieuwierzytelnionym atakującym na wybór dowolnych szablonów w przestrzeni nazw Twig @bazar poprzez parametr GET template. Atakujący mogą dołączać spreparowane wartości szablonów do stron zawierających akcję bazarliste, aby wymusić nieoczekiwane układy, powodując defacement strony dla odwiedzających podążających za spreparowanym linkiem.

YesWiki przed wersją 4.7.0 zawiera obejście read-ACL w AclService::updateRequestWithACL, które interpoluje nazwy użytkowników do wzorców SQL LIKE bez escapowania znaków wieloznacznych _ i %. Samodzielnie zarejestrowani atakujący mogą używać nazw użytkowników takich jak ___ lub %%% , które nadmiernie dopasowują tokeny ACL, odczytując strony i wpisy Bazar zastrzeżone dla innych użytkowników lub grup poprzez publiczne API listy Bazar.

YesWiki od wersji 4.6.0 przed 4.7.0 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na przeglądanie złożonych zapytań SQL poprzez dodanie parametru showreq. Atakujący mogą dołączyć showreq do publicznych żądań API listy Bazar, aby uzyskać nazwy tabel, ścieżki przechowywania JSON, logikę filtrów ACL i sortowanie, co pomaga w ukierunkowanym wstrzykiwaniu SQL.

YesWiki w wersjach 4.5.0 przed 4.7.0 zawiera podatność SQL injection w PageManager::save(), gdzie pole date_maj_fiche żądania utworzenia wpisu Bazar jest konkatenowane bez escapowania do instrukcji INSERT. Nieuwierzytelnieni atakujący w domyślnych instalacjach mogą wstrzyknąć podzapytanie SELECT przeciwko wiki_users, aby wykraść hasła.

YesWiki w wersjach od 4.2.0 przed 4.7.0 zawiera podatność na przechowywany cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzykiwać skrypty do treści komentarzy za pomocą surowej składni HTML wakka. Atakujący mogą publikować komentarze przez endpoint /api/comments, które są renderowane bez escapowania przez filtr raw w Twig, wykonując JavaScript w sesjach administratorów i odwiedzających.

YesWiki w wersjach przed 4.7.0 zawiera nieuwierzytelnioną podatność typu server-side request forgery, która pozwala zdalnym atakującym pobierać dowolne adresy URL, dostarczając składnię wiki [[|URL]] do handlera renderowania. Atakujący mogą przekazać tę składnię w parametrze content handlera renderowania strony, aby dotrzeć do wewnętrznych hostów i portów oraz odczytać ich odpowiedzi.

YesWiki w wersjach przed 4.7.0 zawiera podatność na przechowywany cross-site scripting w akcji filtertags, która odzwierciedla wartości tokenów kontrolowanych przez atakującego bez kodowania wyjściowego. Anonimowi atakujący mogą wstrzykiwać znaczniki poprzez parametry atrybutów akcji, omijając bramkę allow_raw_html, wykonując JavaScript dla każdego przeglądającego stronę.

YesWiki przed wersją 4.7.0 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na przesyłanie nieoczyszczonych plików SVG poprzez klasę ImageField w bazarze. Atakujący mogą przesłać złośliwy plik SVG przez pole obrazu w API wpisów, który jest serwowany jako image/svg+xml i wykonuje skrypt u użytkowników przeglądających wpis lub plik.

YesWiki przed wersją 4.6.7 zawiera podatność XSS w akcji Bazar valeur, która pozwala edytorom stron na wstrzyknięcie skryptu poprzez renderowanie nieescapowanego HTML pobranego ze zdalnego URL. Atakujący mogą wskazać tools/bazar/actions/valeur.php na kontrolowany serwer zwracający znacznik BAZ_fiche_titre z obsługą img onerror, wykonując skrypt w przeglądarce każdego widza.

YesWiki w wersjach przed 4.5.3 zawiera wiele podatności typu reflected cross-site scripting (XSS), które pozwalają zdalnym atakującym wstrzykiwać JavaScript poprzez nieoczyszczone parametry, takie jak incomingurl, id, file, tags i template. Atakujący mogą nakłonić użytkowników do otwarcia spreparowanych linków w celu przejęcia sesji i wykonania uwierzytelnionych żądań.

YesWiki przed wersją 4.6.7 zawiera podatność SSRF, która pozwala edytorom stron na wymuszenie na serwerze pobierania dowolnych adresów URL poprzez parametr url w akcji Bazar valeur. Atakujący mogą osadzić akcję z parametrem champ w znacznikach wiki, aby dotrzeć do usług loopback lub wewnętrznych i częściowo odczytać odpowiedzi renderowane na stronie.

YesWiki w wersjach przed 4.6.7 zawiera podatność typu session fixation, która pozwala atakującym przejąć uwierzytelnione sesje, ponieważ logowanie nie regeneruje identyfikatora sesji PHP. Atakujący, który ustawi lub pozna ciasteczko sesji YesWiki-* ofiary przed uwierzytelnieniem, może użyć go po zalogowaniu, aby uzyskać dostęp do prywatnych treści i wykonać działania z uprawnieniami ofiary.