注目★★★★★GitHub Advisory
YesWiki に認証なしで任意ページ削除される脆弱性、デフォルト設定で危険
30秒で把握
- 1YesWiki の `{{erasespamedcomments}}` アクションに認証チェック欠落・任意ページ削除可能 (CVE-2026-52766)
- 2デフォルト設定で全ユーザーに削除権・フロントページや管理ページも消去される恐れ
- 3ACL 設定の即時変更とアクション無効化で対策・更新パッチの配布を待つ
要約
YesWiki の `{{erasespamedcomments}}` アクションに認証チェックが欠落し、認可制御なしで任意のウィキページを削除できる脆弱性 (CVE-2026-52766) が判明した。デフォルト設定 (`default_write_acl='*'`) では全ユーザーがページ削除権を持つため、フロントページや管理ページを含む他ユーザーのページも無制限に削除可能だ。`PageManager::deleteOrphaned()` は孤立ページ判定を行わずに `pages / links / acls / triples / referrers / tags` テーブルから無条件削除を実行する。
あなたへの影響
YesWiki を公開運用・複数ユーザーで共用するチームは、まず `default_write_acl` を制限ユーザーに変更し、同時に当該アクション自体の無効化を検討すべき。
推奨：現時点で即時対応は不要です。必要に応じて原文を確認してください。