CVE-2026-52774

YesWiki, PHP ile yazılmış bir wiki sistemidir. Versiyon 4.6.6 öncesinde, YesWiki'nin Bazar widget işleyicisi, id GET parametresini yalnızca strip_tags() kullanarak HTML özniteliklerine yansıtmaktadır. strip_tags() çift tırnakları kaçırmadığı için, bir saldırgan öznitelik değerinden çıkabilir, onmouseover gibi bir olay işleyici enjekte edebilir ve kurbanın tarayıcısında rastgele JavaScript çalıştırabilir. Bu sorun kimlik doğrulaması olmadan erişilebilirdir. Doğrulama sırasında, savunmasız widget rotası hem /HomePage/widget?id=... hem de /NoSuchPage/widget?id=... için enjekte edilen HTML'yi döndürmüştür; bu durum herhangi bir girişin, sayfa sahipliğinin, düzenleme haklarının ve hatta geçerli bir sayfa etiketinin gerekmediğini göstermektedir. Gözlemlenen tek yönlendirme ön koşulu, Bazar eklentisinin etkin olması ve isteğin bir id parametresi içermesidir. Bu sorun versiyon 4.6.6 ile düzeltilmiştir.