CVE-2026-92776
YüksekTeknik Veri (Otomatik)
- CVSS Skoru
- 8.1
- EPSS
- —
- CWE
- CWE-863
- KEV Durumu
- Hayır
Wiki.js 2.5.314 sürümüne kadar, START ve END sayfa kurallarının eşleştirmesinde yol ayırıcılarını gerektirmediği için, saldırganların yetkili klasörlerle ön ek paylaştıkları sayfalarına erişmesine olanak tanır. Bir klasöre erişim izni verilen kullanıcılar, eşleşen ön ekleri olan ilgili olmayan sayfaları okuyabilir ve değiştirebilir, böylece amaçlanan erişim kontrollerini atlatabilir.
Orijinal açıklama (İngilizce)
Wiki.js through 2.5.314 fails to require path separators when matching START and END page rules, allowing attackers to access pages sharing a prefix with authorized folders. Users granted access to a folder can read and modify unrelated pages with matching prefixes, bypassing intended access controls.
Referanslar
- https://github.com/geo-chen/oss/blob/main/wiki.md#finding-3-page-permission-rule-engine-grants-readwrite-access-to-any-page-whose-path-shares-a-literal-prefix-with-an-allowed-path-no-path-segment-boundary-check
- https://github.com/requarks/wiki
- https://github.com/requarks/wiki/blob/v2.5.314/server/core/auth.js#L252-L263
- https://www.vulncheck.com/advisories/wiki-js-through-2.5.314-path-prefix-matching-authorization-bypass
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.