YesWiki是一个开源、易用的 Wiki 平台，基于 PHP 和 MySQL 开发，适合个人、团队和组织快速搭建知识库或协作平台。它无需复杂配置，安装简单，支持多语言和插件扩展，用户可通过可视化编辑器轻松创建和编辑内容，适合技术门槛较低的用户使用。
国家信息安全漏洞共享平台于2025-02-20公布该程序存在跨站脚本漏洞。
漏洞编号：CNVD-2025-03330、CVE-2025-24018
影响产品：YesWiki <=4.4.5
漏洞级别：高
公布时间：2025-02-20
漏洞描述：YesWiki 4.4.5及之前版本存在XSS漏洞，该漏洞源于attach组件处理不存在的文件名时安全验证不当，攻击者可以利用该漏洞，通过该漏洞执行任意Web脚本或HTML代码，以获取敏感信息或劫持用户会话。
解决办法：
可以使用『护卫神·防入侵系统』的SQL注入防护模块来解决该漏洞问题，该模块除了防SQL注入，还可以防跨站脚本漏洞。不止对该漏洞有效，对网站所有SQL注入和跨脚本漏洞都可以防护。
1、XSS跨站攻击防护和SQL注入防护
『护卫神·防入侵系统』自带的SQL注入防护模块（如图一）除了拦截SQL注入，还可以拦截XSS跨站脚本攻击（如图二），一并解决YesWiki的其他安全漏洞，拦截效果如图三。
（图一：YesWiki防SQL注入防护模块）
（图二：YesWiki防XSS跨站脚本攻击防护）
（图三：SQL注入拦截效果）
浙公网安备 33010602011771号