CVE-2023-35161
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
XWiki Platform umożliwia użytkownikom fałszowanie adresów URL z ładunkiem, co pozwala na wstrzykiwanie JavaScriptu na stronę (XSS). Można wykorzystać stronę DeleteApplication do przeprowadzenia ataku XSS za pomocą odpowiednio skonstruowanego URL.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do kradzieży danych użytkowników lub przejęcia sesji, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację XWiki do wersji 14.10.5 lub 15.1-rc-1, aby usunąć tę podatność. Należy również przeprowadzić audyt bezpieczeństwa aplikacji w celu zidentyfikowania potencjalnych luk.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page (XSS). It's possible to exploit the DeleteApplication page to perform a XSS, e.g. by using URL such as: > xwiki/bin/view/AppWithinMinutes/DeleteApplication?appName=Menu&resolve=true&xredirect=javascript:alert(document.domain). This vulnerability exists since XWiki 6.2-milestone-1. The vulnerability has been patched in XWiki 14.10.5 and 15.1-rc-1.