PT-2026-104268
CVE-2026-104458
·
تاريخ النشر
2026-10-02
·
تاريخ التحديث
2026-10-02
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
Name of the Vulnerable Software and Affected Versions
YesWiki versions prior to 4.6.7
Description
An unauthenticated attacker can perform a server-side request forgery (SSRF) by bypassing the SSRF guard using 6to4, NAT64, or IPv4-compatible IPv6 addresses. This is possible through the
validateKeyIdUrl() function. By sending a crafted Signature keyId to the public actor inbox route, an attacker can access cloud metadata, loopback services, or internal hosts.Recommendations
Update YesWiki to version 4.6.7 or later.
As a temporary mitigation, restrict access to the
validateKeyIdUrl() function.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾