YesWiki最新跨站脚本漏洞（CNVD-2025-03330、CVE-2025-24018）

YesWiki是一个开源、易用的 Wiki 平台，基于 PHP 和 MySQL 开发，适合个人、团队和组织快速搭建知识库或协作平台。它无需复杂配置，安装简单，支持多语言和插件扩展，用户可通过可视化编辑器轻松创建和编辑内容，适合技术门槛较低的用户使用。

 

国家信息安全漏洞共享平台于2025-02-20公布该程序存在跨站脚本漏洞。

漏洞编号：CNVD-2025-03330、CVE-2025-24018

影响产品：YesWiki <=4.4.5

漏洞级别：高

公布时间：2025-02-20

漏洞描述：YesWiki 4.4.5及之前版本存在XSS漏洞，该漏洞源于attach组件处理不存在的文件名时安全验证不当，攻击者可以利用该漏洞，通过该漏洞执行任意Web脚本或HTML代码，以获取敏感信息或劫持用户会话。

 

解决办法：

可以使用『护卫神·防入侵系统』的SQL注入防护模块来解决该漏洞问题，该模块除了防SQL注入，还可以防跨站脚本漏洞。不止对该漏洞有效，对网站所有SQL注入和跨脚本漏洞都可以防护。

 

 

1、XSS跨站攻击防护和SQL注入防护

『护卫神·防入侵系统』自带的SQL注入防护模块（如图一）除了拦截SQL注入，还可以拦截XSS跨站脚本攻击（如图二），一并解决YesWiki的其他安全漏洞，拦截效果如图三。

 

（图一：YesWiki防SQL注入防护模块）

 

 

（图二：YesWiki防XSS跨站脚本攻击防护）

 

 

（图三：SQL注入拦截效果）

 

原文地址：https://www.hws.com/help/tech/1875.html