PT-2026-104255

CVE-2026-104445

Publicado

2026-10-02

Atualizado

2026-10-02

Descrição por

CVSS 4.0

8.8

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas YesWiki versões anteriores a 4.6.7

Description Existe uma falha de bypass de autenticação na caixa de entrada do ActivityPub devido a uma falha na vinculação do assinante da assinatura HTTP verificada ao ator da atividade. Isso permite que atacantes não autenticados que possuam qualquer par de chaves ActivityPub enviem atividades de Exclusão (Delete) ou Atualização (Update) assinadas. Ao referenciar a sourceUrl de uma entrada espelhada, um atacante pode excluir ou sobrescrever entradas federadas de outros atores.

Recommendations Atualize para a versão 4.6.7 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Arpitjain099

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-290: Authentication Bypass by Spoofing

Identificadores relacionados