YesWikiのBazar公開APIに認証不要のSQLインジェクション（CVE-2026-116207）。情報窃取やパスワード再設定キーの悪用による管理者アカウント乗っ取りの恐れ。影響版と修正版、確認事項を解説。
30秒でわかる / THE SIGNAL
YesWiki 4.6.0～4.6.7と5.0.0-alpha1～alpha3には、公開Bazar APIを介した認証不要のSQLインジェクションが存在する。管理者アカウント乗っ取りにつながる恐れもあり、4.7.0または5.0.0-alpha4以降への更新を急ぎたい。
何が起きた？ ログイン不要の公開APIが入口
オープンソースのWikiシステムYesWikiに、認証不要で悪用できるSQLインジェクションCVE-2026-116207が報告された。対象はBazar機能の公開エントリー一覧API。検索パラメーターqueryやsearchfieldsで指定されたフィールド名の検証が不十分で、データベースに送るSQL文の構造を攻撃者が操作できる場合がある。
開発元の勧告は2026年10月9日付。CVEは10月25日に登録された。今回の新しさは脆弱性の発見日ではなく、CVE登録により広く参照できるようになった点にある。
公式勧告：https://github.com/YesWiki/yeswiki/security/advisories/GHSA-hgxv-w4r8-8877
影響バージョンと深刻度
影響するのはYesWiki 4.6.0以上4.7.0未満（4.6.0～4.6.7）、および5.0.0-alpha1以上5.0.0-alpha4未満。修正版は4.7.0と5.0.0-alpha4。
開発元の該当セキュリティ勧告GHSA-hgxv-w4r8-8877はCritical、CVSS 9.4と評価。一方、CVE-2026-116207の登録データではCVSS v4.0で8.8（High）、v3.1で9.1（Critical）という評価もあり、評価主体とCVSSの版を区別する必要がある。
どのような被害が考えられる？
攻撃者は、データベースの権限で読み取れるアカウント名、メールアドレス、パスワードハッシュ、非公開データなどを抽出できる恐れがある。開発元勧告では、パスワード再設定キーを取得して管理者アカウントを乗っ取る経路も説明されている。
繰り返し処理を遅延させることで、データベースやPHPの処理能力を消費し、サービスの応答性を低下させる可能性もある。
ただし、脆弱なBazarフォームが地図・位置情報のような構造化フィールドを公開していることなど、具体的な悪用には条件がある。すべてのYesWikiサイトで無条件に同じ攻撃が成立するとは限らない。
管理者が優先して確認する3点
第一にYesWikiの利用有無とバージョンを確認する。対象版であれば4.7.0または5.0.0-alpha4以降へ更新する。
第二に、Bazarの公開フォームやAPIを利用しているか、特に構造化フィールドを含むフォームを公開しているか確認する。更新が直ちにできない場合は、該当APIの外部公開を一時的に制限するなどの緩和策を検討する。
第三に、公開APIへの不審なアクセス、異常な応答遅延、パスワード再設定の履歴、管理者アカウントの変更を点検する。ログの確認は被害を断定するものではないが、事後調査の重要な手掛かりになる。
実際の攻撃は確認されている？
開発元の勧告には検証環境での再現と、情報抽出・管理者乗っ取りに至る攻撃経路の説明がある。一方、2026年10月26日時点で確認した一次情報からは、実環境での悪用事例が確認されたとは断定できない。
再現手順が公開されていることと、実際の被害発生は分けて判断したい。
WORK SIGNALの視点｜公開機能は認証の外側にある
今回の問題は、ログインが必要な管理画面ではなく、誰でも利用できる検索APIから始まる。Webシステムの安全性を考えるときは、管理者画面の認証だけでなく、公開フォームや検索機能がどのデータにアクセスできるかまで確認する必要がある。
管理者は利用製品、影響バージョン、公開API、更新状況を整理し、担当者と対応期限を明確にしたい。
YesWiki開発元の一次情報：https://github.com/YesWiki/yeswiki/security/advisories/GHSA-hgxv-w4r8-8877