7.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
DokuWiki before 2026-07-14c contains a PHP object injection vulnerability in Draft::getDraftText() that passes draft file contents to unserialize() without restricting allowed classes. Authenticated users with edit rights can race concurrent draft rewrites to splice serialized data, instantiating gadgets like MemoryIndex or Installer for arbitrary file write, deletion, and code execution.
Засегнати продукти
- DokuWiki DokuWiki: преди 2026-07-14c
Вид слабост
История
- 20 октомври 2026 Публикувано
Други уязвимости в DokuWiki DokuWiki
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-113356
- https://nvd.nist.gov/vuln/detail/CVE-2026-113356
- https://github.com/dokuwiki/dokuwiki/issues/4752
- https://gist.github.com/sebastianosrt/a0c0252ca335e8e8b2c96fecf1f64538
- https://github.com/dokuwiki/dokuwiki/commit/1531802afb2ac3eea147a887600fa5750e74e681
- https://github.com/dokuwiki/dokuwiki/releases/tag/release-2026-07-14c
- https://github.com/dokuwiki/dokuwiki/blob/b61db59a8091fc992ac02959a9a09b576cc43ce0/inc/Draft.php#L122
- https://www.vulncheck.com/advisories/dokuwiki-before-2026-07-14c-php-object-injection-via-draft-race-condition