Liczne dziury znalezione w WikkaWiki dają napastnikowi okazję do rozpoczęcia ataku XSS, kradzież informacji, manipulowanie danymi i przełamania zabezpieczeń systemu.

Program pozwala użytkownikowi na podejmowanie pewnych działań za zapytań HTTP bez odpowiedniego sprawdzania tych zapytań. Ponadto dane wejściowe przesyłane za pośrednictwem parametru „file“ do wikka.php nie są weryfikowane przed ich wykorzystaniem do usunięcia plików. Pozwala to napastnikowi na skasowanie dowolnych plików.

Dane przesyłane za pośrednictwem parametru „default_comment_display“ nie są oczyszczane przed wykorzystaniem ich jako zapytania SQL, dzięki czemu możliwe jest przeprowadzenie ataku SQL injection.

Podobnie dane wejściowe przesyłane za pośrednictwem nagłówka „User-Agent“ do wikka.php nie są odpowiednio weryfikowane przed ich zapisanie w plikach. Pozwala to np. napastnikowi na wykonanie dowolnego kodu PHP.

Błędy znaleziono w wersji 1.3.2. Inne edycje również mogą je zawierać.

[źródło: www.arcabit.pl]