CVE-2025-24019

YesWiki, PHP ile yazılmış bir wiki sistemidir. 4.4.5 ve önceki sürümlerde, kimliği doğrulanmış herhangi bir kullanıcının filemanager kullanımı aracılığıyla, dosya sistemi kapsamına dair herhangi bir sınırlama olmaksızın, ana makinede FastCGI Process Manager (FPM) çalıştıran kullanıcıya ait herhangi bir dosyayı silmesi mümkündür. Bu güvenlik açığı, kimliği doğrulanmış herhangi bir kullanıcının Wiki içeriğini keyfi olarak kaldırmasına izin vererek kısmi veri kaybına ve web sitesinin bozulmasına/tahrip edilmesine yol açar. Herhangi bir değişiklik yapılmamış bir YesWiki konteyner kurulumunda, `yeswiki` dosyaları (örneğin .php), FPM sürecini çalıştıran kullanıcı (www-data) ile aynı kullanıcıya (root) ait değildir. Ancak standart bir kurulumda, www-data aynı zamanda PHP dosyalarının sahibi olabilir ve bu durum kötü niyetli bir kullanıcının tüm önemli PHP dosyalarını (index.php veya YesWiki çekirdek dosyaları gibi) silerek wikiye erişimi tamamen kesmesine olanak tanır. Sürüm 4.5.0, bu sorun için bir yama içermektedir.