Dokuwiki est l'un des logiciels de wikis en php le plus utilisé aujourd'hui. Deux failles de sécurité viennent d'être découvertes pour les versions inférieures à la 2009-12-25. La plus grave d'entre elles permet à un utilisateur malveillant de rajouter, supprimer ou modifier les droits d'accès à l'ensemble des pages.

La première faille permet, tout simplement, d'obtenir la liste des répertoires créés dans le wiki. Après test, il n'est visiblement pas possible de lister le nom des fichiers ou d'y accéder, ce qui limite énormément son champ d'action.

Voici un exemple d'utilisation :

http://cible.fr/lib/plugins/acl/ajax.php?ajax=tree&ns=../pages/

La seconde faille, la plus grave à mon avis, touche le plugin de gestion des droits (ACL). Voici un exemple d'utilisation si l'on souhaite en ajouter :

http://cible.fr/lib/plugins/acl/ajax.php?ajax=info&id=wiki&acl_w=@ALL&cmd[save]=1&acl=(ACL)

Pour en supprimer :

http://cible.fr/lib/plugins/acl/ajax.php?ajax=info&id=wiki&acl_w=@ALL&cmd[del]=1&acl=(ACL)

Enfin, pour modifier des droits existants :

http://cible.fr/lib/plugins/acl/ajax.php?ajax=info&id=wiki&acl_w=@ALL&cmd[update]=1&acl=(ACL)

Attention, pour chacun des cas ci-dessus, il faudra remplacer "(ACL)" par l'action souhaitée :

• read
• modified
• creation
• upload
• delete

La seule solution pour corriger ce problème est de mettre à jour votre version de Dokuwiki.