CVE-2026-52769

Nome do Software Vulnerável e Versões Afetadas YesWiki versões 4.6.2 a 4.6.5

Description Um invasor remoto não autenticado pode realizar um Server-Side Request Forgery (SSRF) enviando uma requisição HTTP especialmente manipulada para o endpoint POST /api/forms/{formId}/actor/inbox. O problema ocorre porque a função HttpSignatureService::verifySignature() analisa o cabeçalho Signature e realiza imediatamente uma requisição HTTP GET do lado do servidor para a URL fornecida no parâmetro keyId, antes de qualquer verificação criptográfica ou validação de URL. Isso permite que um invasor force o servidor a fazer requisições externas arbitrárias para serviços internos, endpoints de metadados de nuvem (como 169.254.169.254) ou painéis de administração exclusivos da intranet. Ao analisar oráculos de tempo e mensagens de erro, um invasor pode escanear portas, enumerar serviços e potencialmente acessar metadados de IAM em instâncias de nuvem. Este problema é explorável se o ActivityPub estiver habilitado em pelo menos um formulário Bazar (configurado via bn activitypub enable = '1').

Recommendations Atualize o YesWiki para a versão 4.6.6. Como mitigação temporária, desabilite o recurso ActivityPub em todos os formulários Bazar definindo bn activitypub enable como '0'.