CVE-2023-35162
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
XWiki Platform zawiera podatność na atak typu XSS, umożliwiającą wstrzyknięcie kodu JavaScript poprzez sfałszowany URL. Można to wykorzystać za pomocą szablonu previewactions, co prowadzi do potencjalnego wykonania nieautoryzowanego kodu na stronie.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do kradzieży danych użytkowników lub przejęcia sesji, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji XWiki 14.10.5 lub 15.1-rc-1, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page (XSS). It's possible to exploit the previewactions template to perform a XSS, e.g. by using URL such as: > <hostname>/xwiki/bin/get/FlamingoThemes/Cerulean xpage=xpart&vm=previewactions.vm&xcontinue=javascript:alert(document.domain). This vulnerability exists since XWiki 6.1-rc-1. The vulnerability has been patched in XWiki 14.10.5 and 15.1-rc-1.