PT-2026-104268

CVE-2026-104458

Publicado

2026-10-02

Atualizado

2026-10-02

Descrição por

CVSS 4.0

8.3

Alta

MétricasAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas YesWiki versões anteriores a 4.6.7

Description Um invasor não autenticado pode realizar um server-side request forgery (SSRF) ao ignorar a proteção de SSRF usando endereços 6to4, NAT64 ou IPv6 compatíveis com IPv4. Isso é possível através da função validateKeyIdUrl(). Ao enviar um Signature keyId manipulado para a rota pública actor inbox, um invasor pode acessar metadados de nuvem, serviços de loopback ou hosts internos.

Recommendations Atualize o YesWiki para a versão 4.6.7 ou posterior. Como medida de mitigação temporária, restrinja o acesso à função validateKeyIdUrl().

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Tonghuaroot

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados

CVE-2026-104458