CVE-2026-104454
Publiée le 2026-10-02 · Dernière modification le 2026-10-02
Les installations de YesWiki antérieures à la version 4.6.7 sont vulnérables à une attaque par déni de service ciblant la fonctionnalité de prévisualisation de l'édition de page. Un attaquant distant non authentifié peut faire planter ou geler votre serveur web en soumettant une courte chaîne de crochets spécialement conçue qui consomme tous les processus de travail PHP-FPM disponibles. Comme cela ne nécessite ni connexion ni interaction de l'utilisateur, l'exécution est triviale via une connexion réseau standard.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
YesWiki before 4.6.7 contains an algorithmic-complexity denial of service in the wakka.php formatter due to an O(n^2) markdown-link regex. Unauthenticated attackers can submit a small crafted body of bracket characters to the page-edit preview endpoint to pin PHP-FPM workers and saturate the pool.