CVE-2026-116208
Beschrijving NL
YesWiki van 4.6.2 vóór 4.7.0 bevat een ontbrekende autorisatiekwetsbaarheid in ActivityPubService::syncActorPosts waarmee kwaadwillende ActivityPub-servers de gespiegelde vermeldingen van andere actoren kunnen manipuleren. Aanvallers kunnen een vergiftigde postvak uit bedienen met cross-actor activiteiten verwijderen, bijwerken of maken tijdens door de beheerder geïnitieerde synchronisatie om items te verwijderen, overschrijven, vervalsen of massaal te verwijderen.
Origineel (Engels) tonen
YesWiki from 4.6.2 before 4.7.0 contains a missing authorization vulnerability in ActivityPubService::syncActorPosts that lets malicious ActivityPub servers manipulate other actors' mirrored entries. Attackers can serve a poisoned outbox with cross-actor Delete, Update, or Create activities during admin-initiated sync to delete, overwrite, forge, or mass-delete entries.