anonhaven
Ad

CVE-2026-105224

MEDIUM CVSS 4.0: 5,1 EPSS 0.17%
Обновлено 5 октября 2026
PHP
Параметр Значение
CVSS 5,1 (MEDIUM)
Уязвимые версии до 4.6.7
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик PHP
Публичный эксплойт Нет

YesWiki before 4.6.7 contains a cross-site scripting vulnerability in the Bazar valeur action that allows page editors to inject script by rendering unescaped HTML fetched from a remote URL. Attackers can point tools/bazar/actions/valeur.php at a controlled server returning BAZ_fiche_titre markup with an img onerror handler, executing script in every viewer's browser.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-79 Cross-Site Scripting (XSS) (Межсайтовый скриптинг (XSS))

Ссылки 3

https://github.com/YesWiki/yeswiki/commit/22a5260b0381824e01d340ce9457c4adb9e18…
disclosure@vulncheck.com
https://github.com/YesWiki/yeswiki/security/advisories/GHSA-6rvf-7pwm-6j44
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/yeswiki-before-4.6.7-stored-xss-via-bazar-…
disclosure@vulncheck.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-110447

PHP

9,2

CVE-2026-63156

PHP

5,1

CVE-2026-63165

PHP

8,6

CVE-2026-63152

PHP

8,6

CVE-2026-63149

PHP

9,1