DokuWiki before 2026-07-14c contains a PHP object injection vulnerability in Draft::getDraftText(...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
DokuWiki の Draft::getDraftText() で下書きの内容を安全でない方法でデシリアライズする PHP オブジェクトインジェクションの脆弱性です。編集権限を持つ認証済み利用者が任意のファイルの書き換えや削除、コード実行を行うおそれがあり、CVSS 基本値は 7.5 です。2026-07-14c より前の版を使っている場合は、修正された 2026-07-14c 以降の版への更新を検討してください。
Description d'origine La description telle que publiée par la source (souvent en anglais).
DokuWiki before 2026-07-14c contains a PHP object injection vulnerability in Draft::getDraftText() that passes draft file contents to unserialize() without restricting allowed classes. Authenticated users with edit rights can race concurrent draft rewrites to splice serialized data, instantiating gadgets like MemoryIndex or Installer for arbitrary file write, deletion, and code execution.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Références
- web gist.github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com