CVE-2026-116206
Beschrijving NL
YesWiki van 4.2.0 vóór 4.7.0 bevat een opgeslagen kwetsbaarheid voor cross-site scripting waarmee geverifieerde gebruikers scripts kunnen injecteren in commentaarorganen met behulp van de wakka raw-HTML-syntaxis. Aanvallers kunnen opmerkingen plaatsen via het /api/comments-eindpunt dat unescaped wordt weergegeven via het Twig RAW-filter, waarbij JavaScript wordt uitgevoerd in beheerders- en bezoekerssessies.
Origineel (Engels) tonen
YesWiki from 4.2.0 before 4.7.0 contains a stored cross-site scripting vulnerability that allows authenticated users to inject script into comment bodies using the wakka raw-HTML syntax. Attackers can post comments via the /api/comments endpoint that render unescaped through the Twig raw filter, executing JavaScript in administrators' and visitors' sessions.