CVE-2023-35156
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 77 - wyżej niż 77% wszystkich znanych CVE
Streszczenie
XWiki Platform zawiera podatność na atak XSS, umożliwiając użytkownikom wstrzykiwanie kodu JavaScript poprzez sfałszowany URL. Wykorzystanie szablonu usuwania pozwala na przeprowadzenie ataku XSS, co może prowadzić do nieautoryzowanego dostępu do danych użytkowników.
Ocena ryzyka
Organizacje korzystające z XWiki mogą być narażone na ataki, które mogą prowadzić do ujawnienia wrażliwych informacji lub przejęcia sesji użytkowników. Wykorzystanie tej podatności może zagrażać integralności i poufności danych.
Rekomendacja
Zaleca się aktualizację do wersji XWiki 14.10.6 lub 15.1, aby usunąć tę podatność. Użytkownicy powinni również rozważyć zastosowanie dodatkowych środków zabezpieczających, aby zminimalizować ryzyko ataków XSS.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page (XSS). It's possible to exploit the delete template to perform a XSS, e.g. by using URL such as: > xwiki/bin/get/FlamingoThemes/Cerulean?xpage=xpart&vm=delete.vm&xredirect=javascript:alert(document.domain). This vulnerability exists since XWiki 6.0-rc-1. The vulnerability has been patched in XWiki 14.10.6 and 15.1. Note that a partial patch has been provided in 14.10.5 but wasn't enough to entirely fix the vulnerability.