CVE-2023-35158
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
Platforma XWiki ma podatność umożliwiającą wstrzyknięcie kodu JavaScript (XSS) poprzez sfałszowany URL. Użytkownicy mogą wykorzystać szablon przywracania do przeprowadzenia ataku XSS, co może prowadzić do nieautoryzowanego dostępu do danych.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co stwarza ryzyko kradzieży danych lub przejęcia sesji użytkownika.
Rekomendacja
Zaleca się aktualizację do wersji XWiki 14.10.5 lub 15.1-rc-1, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page (XSS). It's possible to exploit the restore template to perform a XSS, e.g. by using URL such as: > /xwiki/bin/view/XWiki/Main?xpage=restore&showBatch=true&xredirect=javascript:alert(document.domain). This vulnerability exists since XWiki 9.4-rc-1. The vulnerability has been patched in XWiki 14.10.5 and 15.1-rc-1.