Injection SQL dans yeswiki/yeswiki (CVE-2026-46670)
Résumé
Injection SQL dans yeswiki/yeswiki (CVE-2026-46670). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via INSERT. Atténuation : mise à jour vers 4.6.4 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
An unauthenticated SQL injection in the Bazar form-import path (FormManager::create()) allows any unauthenticated visitor of a default YesWiki install to inject arbitrary SQL into an INSERT statement and read the full database, including yeswiki_users.password hashes. Present in 4.6.1 / 4.6.2 / current doryphore-dev; analyzed against upstream commit 1f485c049db030b94c047ec219e63534ac81142e.
Details
Sink is at FormManager::create() (function at L232), unquoted concatenation of bn_id_nature into the INSERT VALUES list at https://github.com/YesWiki/yeswiki/blob/1f485c049db030b94c047ec219e63534ac81142e/tools/bazar/services/FormManager.php#L258
Reachability is unauthenticated.
PoC
- Clone the repo (test was done on 1f485c049db030b94c047ec219e63534ac81142e)
- Bring up the service using docker:
cd docker && docker compose build && docker compose up - Go to
https://localhost:8085 - Go through the installation
- Run the POC:
yeswiki_sqli_poc.py
Impact
Sql injection.
An attacker can dump the whole db, including usernames, emails, and hashed passwords.
More details
Sample http request (copied from burp):
POST /?BazaR&vue=formulaire HTTP/1.1
Accept-Encoding: gzip, deflate, br
Content-Length: 353
Host: localhost:8085
User-Agent: Python-urllib/3.13
Content-Type: application/x-www-form-urlencoded
Connection: keep-alive
imported-form%5B7791000%2BASCII%…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-46670 a été découverte dans yeswiki/yeswiki.
Des attaquants peuvent cibler un point d'entrée spécifique comme INSERT à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 9.8/10.
Action : mettez à jour yeswiki/yeswiki vers 4.6.4 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « yeswiki/yeswiki CVE-2026-46670 » sur le site de l'éditeur.
CVE-2026-46670 (yeswiki/yeswiki) — CWE-89 / CVSS v3 9.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : INSERT / yeswiki_users.password / bn_id_nature
Correctif : 4.6.4 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une injection SQL (CWE-89) affecte yeswiki/yeswiki. Les attaquants atteignent le code vulnérable via INSERT sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de yeswiki/yeswiki. Surface d'attaque : INSERT / yeswiki_users.password / bn_id_nature.
Gravité : Critique (CVSS 9.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 4.6.4.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'yeswiki/yeswiki' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
yeswiki/yeswikiを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade yeswiki/yeswiki to 4.6.4ステージング環境で 4.6.4 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com