中 8.3

YesWikiの脆弱性で署名付きリクエストを再送され操作を再実行される恐れ

CVE-2026-116825 SecPulse初出 8:05

概要

YesWikiの4.6.2以降4.7.0より前には、ActivityPubの受信口で署名付きリクエストを再送できる脆弱性があります。攻撃者が捕らえたリクエストを後から再送すると、削除・更新・フォローなどの操作を再び実行される可能性があります。修正版の4.7.0への更新が必要です。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
YesWiki	yeswiki	4.6.2 以上 4.7.0 未満	4.7.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

YesWiki from 4.6.2 before 4.7.0 lacks replay protection in HttpSignatureService::verifySignature(), which never validates the Date header or tracks seen signatures. Attackers who capture a signed request to the /api/forms/{formId}/actor/inbox endpoint can replay it later to re-execute Delete, Update, Follow, or Undo actions.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory