CVE-2026-44224

Wiki.js, Node.js üzerinde oluşturulmuş açık kaynaklı bir wiki uygulamasıdır. 2.5.313 sürümünden önce, users.update GraphQL mutasyonu rastgele bir groups dizisini kabul eder ve sağlanan grup kimliklerinin doğrulamasını yapmadan doğrudan veritabanına uygular. Resolver, çağıranın argümanlarını herhangi bir sahiplik kontrolü veya hangi grupların atanabileceğine dair bir kısıtlama olmaksızın doğrudan modele iletir. Genellikle hesap yönetimi için wiki moderatörlerine verilen manage:users yetkisine sahip bir kullanıcı, kendi hesabında groups:[1] ayarını yaparak kendisini Administrators grubuna atayabilir. Yeniden kimlik doğrulamanın ardından, yeni JWT manage:system yetkisini taşır ve tek bir mutasyon çağrısıyla tam site yöneticisi erişimi sağlar. Bu güvenlik açığı 2.5.313 sürümünde giderilmiştir.