CVE-2026-52774-YESWIKI-XSS

CVE-2026-52774 es una vulnerabilidad XSS reflejado en el manejador de widgets Bazar de YesWiki. El parámetro de consulta en el endpoint NoSuchPage/widget está sanitizado de forma inadecuada mediante strip_tags(), que no escapa las comillas dobles. Esto permite a un atacante salir de los atributos HTML e inyectar manejadores de eventos JavaScript, como onmouseover, en el atributo data-iframeUrl.

La vulnerabilidad fue parcheada en la versión 4.6.6 añadiendo urlencode() a $urlParams en el método __WidgetHandler.

🔬 Detalles de la Vulnerabilidad

Causa Raíz

La vulnerabilidad existe en el método __WidgetHandler de la extensión Bazar de YesWiki. El parámetro de consulta se pasa a través de strip_tags() pero no se codifica correctamente como URL antes de incrustarse en el atributo data-iframeUrl.

Cadena de Explotación

1. El atacante crea una URL con un parámetro de consulta malicioso
   ↓
2. El usuario hace clic en el enlace malicioso o visita la página manipulada
   ↓
3. El servidor refleja la carga útil en el atributo data-iframeUrl
   ↓
4. El usuario pasa el cursor sobre el área del widget
   ↓
5. Se ejecuta JavaScript (evento onmouseover)
   ↓
6. El atacante roba cookies de sesión o realiza acciones como el usuario
   ↓
7. Explotación adicional mediante CVE-2026-52777 (RCE por unserialize)