В YesWiki до версии 4.7.0 возможен обход ACL для чтения

В версиях YesWiki до 4.7.0 присутствует обход ACL для чтения в AclService::updateRequestWithACL. Атакующие, самостоятельно зарегистрировавшие учётные записи, могут использовать имена пользователей, такие как ___ или %%%, чтобы сопоставить избыточное количество токенов ACL и читать страницы и записи Bazar, ограниченные для других пользователей или групп, через общедоступный API списка Bazar.