CVE-2026-116828

CVSS 4.9 MEDIUM Lộ dữ liệu

YesWiki before 4.7.0 SQL Injection via despam.php INTERVAL operand

Công bố: 2026-10-27
Cập nhật: 2026-10-31
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

YesWiki before 4.7.0 contains a sql injection vulnerability in despam.php where the from parameter is escaped but placed in an unquoted INTERVAL position. Authenticated administrators can inject SQL via the from POST parameter to perform blind reads of the database including user password hashes.

Điểm và phân loại

CVSS: 4.9 MEDIUM v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): MEDIUM
EPSS: —
CWE: CWE-89

Vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Ảnh hưởng

Sản phẩm

YesWiki yeswiki

Vì sao bị lọc

CVSS 4.9 < 8.0 và không thuộc CISA KEV

Loại tác động

Lộ dữ liệu: CWE-89; từ khoá "sql injection"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: VulnCheck
CVE.org · SSVC: Tự động hoá được: no · Khai thác: poc · Tác động kỹ thuật: partial