Vulnerabilidad · Publicado 20/10/2026
DokuWiki versiones anteriores a 2026-07-14c contiene una vulnerabilidad de inyección de objetos PHP en la función Draft::getDraftText() que deserializa contenido sin validar clases permitidas. Usuarios autenticados con permisos de edición pueden explotar condiciones de carrera para instanciar gadgets maliciosos (MemoryIndex, Installer) y ejecutar código arbitrario, escribir o eliminar archivos en el servidor. Afecta especialmente a wikis corporativas y portales de conocimiento en empresas medianas de LATAM.
DokuWiki before 2026-07-14c contains a PHP object injection vulnerability in Draft::getDraftText() that passes draft file contents to unserialize() without restricting allowed classes. Authenticated users with edit rights can race concurrent draft rewrites to splice serialized data, instantiating gadgets like MemoryIndex or Installer for arbitrary file write, deletion, and code execution.
Score: 7.5/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-502
Publicado en NIST NVD.