CVE-2023-35160
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 79 - wyżej niż 79% wszystkich znanych CVE
Streszczenie
XWiki Platform zawiera podatność na atak XSS, umożliwiając użytkownikom wstrzykiwanie kodu JavaScript poprzez sfałszowane URL-e. Wykorzystanie szablonu ponownego przesyłania pozwala na wykonanie złośliwego kodu, co może prowadzić do ujawnienia danych użytkowników.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przejęcia sesji użytkowników lub kradzieży danych, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację XWiki do wersji 14.10.5 lub 15.1-rc-1, aby usunąć tę podatność i zabezpieczyć aplikację przed potencjalnymi atakami.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page (XSS). It's possible to exploit the resubmit template to perform a XSS, e.g. by using URL such as: > xwiki/bin/view/XWiki/Main xpage=resubmit&resubmit=javascript:alert(document.domain)&xback=javascript:alert(document.domain). This vulnerability exists since XWiki 2.5-milestone-2. The vulnerability has been patched in XWiki 14.10.5 and 15.1-rc-1.