CVE-2025-24019

إصدارات YesWiki حتى الإصدار 4.4.5 بما في ذلك

تسمح هذه الثغرة لأي مستخدم مسجل بإزالة محتوى بشكل تعسفي من الويكي، مما يؤدي إلى فقدان جزئي للبيانات وتشويه/إتلاف الموقع الإلكتروني. ويتم ذلك من خلال استخدام مدير الملفات، الذي لا يقوم بتنقية أو التحقق بشكل مناسب من المسار المقدم من قبل المستخدم، مما يسمح لمستخدم ضار بتحديد أي ملف عشوائي في نظام الملفات لحذفه. يمكن استغلال الثغرة الأمنية عن طريق الوصول إلى filemanager واستخدام الدالة fmErase()، التي لا تقصر عملية الحذف على مجلدات أو ملفات محددة. في التثبيت القياسي، قد يسمح ذلك لمستخدم ضار بحذف ملفات PHP مهمة، مثل index.php أو ملفات نواة YesWiki، مما يؤدي إلى تعطيل الوصول إلى الويكي تمامًا.

بالنسبة لإصدارات YesWiki حتى الإصدار 4.4.5 بما في ذلك، يُنصح بالتحديث إلى الإصدار 4.5.0، الذي يحتوي على تصحيح لهذه الثغرة الأمنية. كإجراء مؤقت، قم بتقييد المسارات المحتملة للدالة fmErase() إلى الدليل upload path وقصر استخدامها على الملفات المهملة فقط. بالإضافة إلى ذلك، تأكد من أن أي طلب لاستدعاء fmErase() أو fmDelete() يأتي من مالك المورد الذي يرتبط به المرفق.