- Yama var
- Son 7 gün
- CWE-79
CVE-2026-116202
YesWiki 4.7.0 öncesinde ImageField SVG yüklemesi üzerinden kalıcı siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
YesWiki 4.7.0 öncesi sürümler, düşük ayrıcalıklı kimliği doğrulanmış kullanıcıların bazar ImageField sınıfı üzerinden temizlenmemiş SVG dosyaları yüklemesine izin veren kalıcı bir siteler arası betik çalıştırma (XSS) güvenlik açığı içerir. Saldırganlar, entries API'sinin görsel alanı üzerinden kötü amaçlı bir SVG gönderebilir; bu dosya image/svg+xml olarak sunulur ve girdiyi veya dosyayı görüntüleyen kullanıcılarda betik çalıştırır.
Kaynaktaki açıklama (İngilizce)
YesWiki before 4.7.0 contains a stored cross-site scripting vulnerability that allows low-privilege authenticated users to upload unsanitized SVG files through the bazar ImageField class. Attackers can submit a malicious SVG via the image field of the entries API, which is served as image/svg+xml and executes script for users viewing the entry or file.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| yeswiki | < 4.7.0 | 4.7.0 |
| 4.7.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.