中 8.2

YesWikiに認証済み管理者から内部へ通信させられる脆弱性修正版は4.7.0

CVE-2026-116826 SecPulse初出 8:05

概要

YesWikiの4.7.0より前のバージョンには、ページ複製APIの処理に脆弱性(SSRF)があります。認証済みの管理者が、ローカルファイルやクラウドのメタデータ、データベースの認証情報などを取得し、公開されているfiles/ディレクトリに保存させられるおそれがあります。対策として、4.7.0以降の修正版へ更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
YesWiki	yeswiki	4.7.0 未満	4.7.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

YesWiki before 4.7.0 contains a server-side request forgery vulnerability in DuplicationManager::downloadFile() that allows authenticated administrators to make arbitrary outbound requests via the files array. Attackers can POST file:// or internal URLs to /api/pages/{tag}/duplicate, storing local files, cloud metadata, or database credentials in the publicly accessible files/ directory.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory