- Yama var
- Son 7 gün
- CWE-79
CVE-2026-116206
YesWiki'de yorum içeriğinde ham HTML sözdizimi nedeniyle kalıcı siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
YesWiki 4.2.0 sürümünden 4.7.0 sürümünden önceki sürümlerde, kimliği doğrulanmış kullanıcıların wakka ham HTML sözdizimini kullanarak yorum gövdelerine betik enjekte etmesine izin veren kalıcı bir siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırganlar /api/comments uç noktası üzerinden yorum gönderebilmekte, bu yorumlar Twig raw filtresi aracılığıyla kaçışlanmadan işlenmekte ve yöneticilerin ve ziyaretçilerin oturumlarında JavaScript kodu çalıştırılmaktadır.
Kaynaktaki açıklama (İngilizce)
YesWiki from 4.2.0 before 4.7.0 contains a stored cross-site scripting vulnerability that allows authenticated users to inject script into comment bodies using the wakka raw-HTML syntax. Attackers can post comments via the /api/comments endpoint that render unescaped through the Twig raw filter, executing JavaScript in administrators' and visitors' sessions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| yeswiki | ≥ 4.2.0, < 4.7.0 | 4.7.0 |
| 4.7.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.