CVE-2026-52774-YESWIKI-XSS

CVE-2026-52774 ist eine reflektierte XSS-Schwachstelle im Bazar-Widget-Handler von YesWiki. Der Query-Parameter im NoSuchPage/widget-Endpunkt wird unzureichend mit strip_tags() bereinigt, was doppelte Anführungszeichen nicht escaped. Dadurch kann ein Angreifer aus HTML-Attributen ausbrechen und JavaScript-Event-Handler wie onmouseover in das data-iframeUrl-Attribut injizieren.

Die Schwachstelle wurde in Version 4.6.6 gepatcht, indem urlencode() zu den $urlParams in der __WidgetHandler-Methode hinzugefügt wurde.

🔬 Details zur Schwachstelle

Grundursache

Die Schwachstelle existiert in der __WidgetHandler-Methode der Bazar-Erweiterung von YesWiki. Der Query-Parameter wird durch strip_tags() geleitet, aber vor der Einbettung in das data-iframeUrl-Attribut nicht ordnungsgemäß URL-kodiert.

Angriffskette

1. Angreifer erstellt URL mit bösartigem Query-Parameter
   ↓
2. Benutzer klickt auf bösartigen Link oder besucht präparierte Seite
   ↓
3. Server spiegelt Payload in das data-iframeUrl-Attribut
   ↓
4. Benutzer fährt mit der Maus über den Widget-Bereich
   ↓
5. JavaScript wird ausgeführt (onmouseover-Ereignis)
   ↓
6. Angreifer stiehlt Session-Cookies oder führt Aktionen als Benutzer aus
   ↓
7. Weitere Ausnutzung über CVE-2026-52777 (unserialize RCE)