Podatności YesWiki

YesWiki przed wersją 4.6.7 zawiera podatność odbitego XSS, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty przez parametr field w handlerze mail. Atakujący może stworzyć link, którego wartość field wychodzi poza atrybut akcji ajax-mail-form, wykonując JavaScript w przeglądarce ofiary.

YesWiki przed wersją 4.6.7 zawiera podatność przechowywanego XSS w Bazar FileField, która waliduje tylko rozszerzenie pliku i nie wywołuje HtmlPurifierService::cleanFile. Pliki SVG są przechowywane bez zmian i serwowane jako image/svg+xml, co pozwala uwierzytelnionym użytkownikom przesłać SVG ze skryptem wykonującym się w kontekście wiki.

YesWiki w wersji przed 4.6.7 zawiera podatność SQL injection w akcji Bazar filtertags, która otacza nieescapowane tokeny atrybutu filterN cudzysłowami i konkatenuje je do surowej klauzuli tags.value IN (...). Nieuwierzytelnieni atakujący na domyślnych instalacjach mogą zapisać znacznik filtertags na stronie z tokenem kończącym się backslashem, co zaburza parzystość cudzysłowów przy escapowaniu backslashem w MySQL. Pozwala to wstrzyknąć pięciokolumnowe podzapytanie UNION w celu odczytu dowolnych danych z tabel, takich jak hashe haseł.

YesWiki przed wersją 4.6.7 zawiera podatność cross-site request forgery w akcji admintag, która pozwala atakującym usuwać powiązania tagów poprzez nakłonienie administratorów do kliknięcia spreparowanych linków GET. Atakujący może podać szeroki zakres id w parametrze delete_tag poprzez nawigację najwyższego poziomu, przenosząc ciasteczko administratora SameSite=Lax, aby masowo usuwać trójki tagów.

YesWiki w wersjach przed 4.6.7 zawiera podatność kontroli dostępu pozwalającą nieuwierzytelnionym atakującym nadpisać dowolną istniejącą stronę wiki, w tym strony z ograniczeniami ACL zapisu, poprzez przepływ tworzenia wpisu Bazar. Atakujący mogą przesłać spreparowany wpis z kontrolowanym przez siebie id_fiche pasującym do istniejącej strony, nadpisując jej treść w celu masowego defacementu i zniszczenia zawartości.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia uwierzytelniania w skrzynce odbiorczej ActivityPub, która nie wiąże zweryfikowanego podpisującego sygnaturę HTTP z aktorem aktywności. Nieuwierzytelniony atakujący z dowolną parą kluczy ActivityPub może wysyłać podpisane aktywności Delete lub Update odwołujące się do sourceUrl zlustrowanego wpisu, aby usuwać lub nadpisywać sfederowane wpisy innych aktorów.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w trasie editComment API komentarzy, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach nadpisywać dowolne strony lub komentarze, podając własną stronę jako pole pagetag. Atakujący może wysłać żądanie POST do punktu końcowego api/comments, celując w tag ofiary, omijając ACL zapisu dla poszczególnych stron, aby zastąpić treść i przeparentować istniejące strony lub komentarze.

YesWiki w wersjach przed 4.6.7 zawiera nieuwierzytelnioną podatność server-side request forgery, która pozwala zdalnym atakującym zmusić serwer do pobierania dowolnych hostów i portów poprzez parametr url akcji {{valeur}}. Atakujący mogą przesłać akcję przez parametr content handlera handlers/page/render.php, aby sondować wewnętrzne usługi HTTP i odczytywać treść odpowiedzi pasującą do znaczników fiche.

YesWiki przed wersją 4.6.6 zawiera podatność na wstrzykiwanie SQL w funkcji ReactionManager::deleteUserReaction(), która pozwala każdemu uwierzytelnionemu użytkownikowi na wstrzyknięcie dowolnego SQL przez parametry ścieżki URL {idreaction} i {id}. Parametry są konkatenowane bezpośrednio do klauzuli SQL LIKE bez escapowania lub parametryzacji.

YesWiki to system wiki napisany w PHP. Przed wersją 4.6.6, handler widżetu Bazar odzwierciedla parametr GET 'id' w atrybutach HTML używając tylko strip_tags(). Ponieważ strip_tags() nie escapuje podwójnych cudzysłowów, atakujący może wyrwać się z wartości atrybutu, wstrzyknąć handler zdarzeń, taki jak onmouseover, i wykonać dowolny JavaScript w przeglądarce ofiary. Problem jest osiągalny bez uwierzytelnienia.

YesWiki to system wiki napisany w PHP. Od wersji 4.1.0 do przed 4.6.6, widok zarchiwizowanej rewizji odzwierciedla parametr GET 'time' w ukrytym polu HTML w handlers/page/show.php bez escapowania. Ponieważ MySQL koercji nieprawidłowych ciągów DATETIME, atakujący może dołączyć HTML lub JavaScript do prawidłowego znacznika czasu zarchiwizowanej rewizji, nadal załadować tę rewizję i wykonać dowolny JavaScript w przeglądarce ofiary. Podatny formularz jest renderowany tylko gdy ofiara może czytać i edytować stronę docelową.

YesWiki to system wiki napisany w PHP. Przed wersją 4.6.6, szablony pól formularza Bazar nadal stosują |raw('html') do field.label / field.hint w kontekście atrybutów i treści etykiet, co powoduje trwały XSS w renderowaniu formularzy.

YesWiki od wersji 4.2.0 do przed 4.6.6 zawiera podatność na wstrzykiwanie SQL w ApiController::deletePage(), gdzie tag strony pobrany z bazy jest interpolowany do zapytania DELETE bez escapowania. Niskouprzywilejowany uwierzytelniony użytkownik może utworzyć stronę z tagiem będącym fragmentem SQL i wykonać dowolny SQL w bazie wiki.

YesWiki przed wersją 4.6.6 zawiera podatność na nieuwierzytelnione wstrzykiwanie SQL w publicznych API listowania wpisów Bazar, w filtrach numerycznych. Wartość filtra jest escapowana, ale wstawiana do SQL bez cudzysłowów i walidacji numerycznej, co pozwala atakującemu na wstrzykiwanie wyrażeń boolowskich i wnioskowanie o zawartości bazy.

YesWiki od wersji 4.6.2 do przed 4.6.6 zawiera podatność w trasie POST /api/forms/{formId}/actor/inbox, która jest publicznie dostępna. HttpSignatureService::verifySignature() parsuje nagłówek HTTP Signature i natychmiast wykonuje serwerowe żądanie HTTP GET do podanego URL, przed jakąkolwiek weryfikacją kryptograficzną. Nieuwierzytelniony atakujący może zmusić serwer do wykonywania żądań do wewnętrznych usług, w tym metadanych chmury.

YesWiki od wersji 4.6.2 do przed 4.6.6 zawiera podatność w HttpSignatureService::verifySignature(), która sprawdza wynik funkcji openssl_verify() za pomocą luźnej negacji boolowskiej. Ponieważ PHP traktuje -1 jako prawdę, warunek !(-1) jest fałszywy, co powoduje pominięcie błędu i kontynuację przetwarzania, nawet gdy weryfikacja podpisu nie powiodła się.

YesWiki to system wiki napisany w PHP. Przed wersją 4.6.6, akcja recentchanges (actions/recentchanges.php) akceptuje argument okresu z dwóch rozłącznych przestrzeni parametrów. Biała lista waliduje tylko formę URL przeciwko ['day','week','month']. Forma argumentu akcji przechodzi do gałęzi else bez walidacji, a wartość trafia do PageManager::getRecentlyChanged(), gdzie jest interpolowana do klauzuli WHERE time >= '...' ORDER BY time DESC bez escapowania lub parametryzacji. Udana iniekcja UNION-based pozwala na wyświetlenie wyciekłych wierszy w odpowiedzi, więc każdy odwiedzający stronę wyzwalającą widzi eksfiltrowane dane. Podatność zapewnia dowolny odczyt bazy danych YesWiki każdemu, kto może zapisać stronę wyzwalającą.

YesWiki przed wersją 4.6.6 zawiera podatność na przechowywane wstrzykiwanie szablonów po stronie serwera (SSTI) w funkcji szablonów semantycznych Bazar, która może eskalować do zdalnego wykonania kodu (RCE). Uwierzytelniony administrator może umieścić dowolne wyrażenia Twig w polu szablonu semantycznego, które są wykonywane podczas żądań do publicznych endpointów semantycznych.

W YesWiki przed wersją 4.6.0 stwierdzono podatność na trwałe i ukryte XSS w polu tytułu formularza. Nieuwierzytelniony atakujący może wstrzyknąć JavaScript, który jest wykonywany przy odwiedzinach strony przez innych użytkowników.

Podatność Cross Site Scripting (XSS) w YesWiki w wersji 4.54 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w polu konfiguracji meta robots.