CVE-2026-44224
Təsvir
Wiki.js Node.js əsasında qurulmuş açıq mənbəli wiki tətbiqidir. 2.5.313 versiyasından əvvəl `users.update` GraphQL mutasiyası ixtiyari `groups` massivini qəbul edir və təqdim olunan qrup ID-lərinin heç bir validasiyası olmadan onu birbaşa verilənlər bazasına tətbiq edir. Resolver, çağıranın arqumentlərini hər hansı mülkiyyət yoxlaması və ya hansı qrupların təyin edilə biləcəyi ilə bağlı məhdudiyyət olmadan birbaşa modelə ötürür. Adətən hesabların idarə olunması üçün wiki moderatorlarına verilən `manage:users` icazəsinə malik istifadəçi, öz hesabına `groups:[1]` dəyərini təyin etməklə özünü Administratorlar qrupuna əlavə edə bilər. Yenidən autentifikasiyadan sonra yeni JWT `manage:system` icazəsini daşıyır ki, bu da tək bir mutasiya çağırışı ilə sayta tam administrator giriş imkanı verir. Bu zəiflik 2.5.313 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- requarks wiki.js2.5.313 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| requarks wiki.js | v < 2.5.313 | 2.5.313 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.