🔍 CVE-2026-52772

5.5
CVSS Score
MEDIUM
2026-09-05
2026-09-09 18:16
✅ 완료

🇰🇷 한글 설명

PHP 기반 위키 시스템인 YesWiki 4.6.6 미만 버전에서 발생하는 보안 취약점입니다. Bazar 양식 필드 템플릿이 레이블 및 힌트 컨텍스트에서 HTML 태그를 적절히 필터링하지 않아 저장형 XSS(Cross-Site Scripting) 공격이 가능합니다.

💡 쉬운 설명

위키 사이트의 입력창 양식에 악성 코드를 숨겨두면, 다른 사용자가 해당 페이지를 볼 때 코드가 실행될 수 있는 문제입니다. 이를 통해 사용자의 정보를 탈취하거나 사이트를 변조할 수 있습니다.

🇺🇸 원문 (English)

YesWiki is a wiki system written in PHP. Prior to version 4.6.6, Bazar form-field templates still apply |raw('html') to field.label / field.hint in attribute and label-body contexts, resulting stored XSS in form renders. This issue has been patched in version 4.6.6.

📍 영향받는 시스템

YesWiki 4.6.6 미만 모든 버전

⚔️ 공격 벡터

Bazar 양식의 필드 레이블 또는 힌트 영역에 악성 HTML/JavaScript 코드를 삽입하여 저장하는 방식

🛡️ 대응 방법

YesWiki를 최신 보안 패치가 적용된 버전인 4.6.6 이상으로 업데이트하십시오.

🔧 검증 코드

출력된 버전 번호가 4.6.6 미만이면 'Vulnerable', 4.6.6 이상이면 'Safe'로 표시됩니다.

Shell / Script 
php -r 'echo "YesWiki Version: " . (defined("YESWIKI_VERSION") ? YESWIKI_VERSION : "unknown");' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+' | awk -F. '$1 >= 4 && $2 >= 6 && $3 >= 6 {print "Safe"} $1 < 4 || $2 < 6 || $3 < 6 {print "Vulnerable"}'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

💻 영향받는 소프트웨어

PHP