Krytyczna luka SQL Injection w YesWiki przed wersją 4.6.4

Co wiadomo

W systemie wiki YesWiki, przed wersją 4.6.4, wykryto krytyczną lukę SQL Injection umożliwiającą nieautoryzowanym użytkownikom wstrzyknięcie dowolnego kodu SQL i odczyt całej bazy danych, w tym hashy haseł użytkowników. Luka ta dotyczy funkcji importu formularzy i została załatana w wersji 4.6.4.

Wpływ biznesowy

Luka pozwala na pełny dostęp do bazy danych bez uwierzytelnienia, co może prowadzić do wycieku danych użytkowników oraz przejęcia kontroli nad systemem. Operatorzy infrastruktury korzystającej z YesWiki powinni traktować tę podatność jako krytyczną, gdyż może ona skutkować poważnymi naruszeniami bezpieczeństwa i utratą zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie systemu YesWiki do wersji 4.6.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć dostęp do funkcji importu formularzy oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd ekspozycji sieciowej i zweryfikować kopie zapasowe. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie logów w celu szybkiego wykrywania incydentów.

Źródła

• NVD
• Reference