YesWiki heeft Persistent Blind XSS bij "/?BazaR&vue=consulter"

Deze XSS-kwetsbaarheid stelt een aanvaller in staat om willekeurige JavaScript-code uit te voeren in de browser van een gebruiker die een pagina bezoekt met de geïnjecteerde payload. Dit kan leiden tot verschillende schadelijke acties, zoals het stelen van sessiecookies, het omleiden van gebruikers naar kwaadaardige websites, of het manipuleren van de inhoud van de pagina. Omdat de injectie blinde is, hoeft de aanvaller de directe impact niet te zien, maar kan deze op afstand worden geactiveerd. De kwetsbaarheid is bijzonder gevaarlijk omdat geen authenticatie vereist is, waardoor iedereen die toegang heeft tot het formulier titel veld, een potentieel doelwit is.

YesWiki installations running versions 4.5.5 and earlier are at direct risk. Shared hosting environments that utilize YesWiki are particularly vulnerable, as a compromised account on one site could potentially be used to inject malicious code affecting other sites on the same server. Organizations relying on YesWiki for internal documentation or knowledge management should prioritize patching.

• php: Examine YesWiki logs for unusual form submissions containing suspicious characters or JavaScript code. Use grep to search for patterns like <script or javascript: within the form title field.

grep -i 'javascript:|\<script' /var/log/yeswiki/access.log

• generic web: Check YesWiki instance for exposed form title fields. Attempt to inject simple XSS payloads (e.g., <script>alert(1)</script>) and observe if the payload executes.

curl -X POST -d "form_title=<script>alert(1)</script>" http://your-yeswiki-instance/index.php/Special:FormEdit

• generic web: Review response headers for any signs of XSS filtering or sanitization. Lack of filtering indicates a potential vulnerability.

1. 2026-03-31Disclosure

   disclosure

1. Gereserveerd2026-03-30
2. Gepubliceerd2026-03-31
3. Gewijzigd2026-04-10
4. EPSS bijgewerkt2026-04-10

De primaire mitigatie voor CVE-2026-34598 is het upgraden van YesWiki naar versie 4.6.0 of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het valideren en saneren van alle gebruikersinvoer in het formulier titel veld. Dit kan worden bereikt door het gebruik van een Web Application Firewall (WAF) die XSS-pogingen detecteert en blokkeert, of door het implementeren van strikte inputvalidatie op de server-side. Controleer ook de YesWiki configuratie op instellingen die de uitvoer van JavaScript beperken. Na de upgrade, controleer de functionaliteit van het formulier titel veld om te bevestigen dat de kwetsbaarheid is verholpen.

Laatste update

4.6.5recent