CVE-2023-36471 in Commons
Zusammenfassung
von VulDB • 23.06.2026
XWiki Commons sind die gemeinsamen Module, die von anderen übergeordneten XWiki-Projekten verwendet werden. Der HTML-Sanitizer, der seit Version 14.6RC1 in XWiki enthalten ist, erlaubte Form- und Input-HTML-Tags. Im Kontext von XWiki ermöglicht dies einem Angreifer ohne Skriptrechte entweder die Erstellung von Formularen, die für Phishing-Angriffe verwendet werden können, oder im Zusammenhang mit einer Seite (Sheet) könnte der Angreifer ein Eingabefeld wie `{{html}}{{/html}}` hinzufügen, das bei der Übermittlung durch einen Administrator eine Remote-Code-Ausführung ermöglicht (die Seite wird als Teil des Bearbeitungformulars gerendert). Der Angreiser müsste jedoch sicherstellen, dass das Bearbeitungformular plausibel aussieht, was nicht trivial sein kann, da er ohne Skriptrechte den regulären Inhalt des Dokuments nicht anzeigen kann. Dies wurde in XWiki 14.10.6 und 15.2RC1 behoben, indem die zentralen formbezogenen Tags aus der Liste der zulässigen Tags entfernt wurden. Benutzern wird empfohlen, ein Upgrade durchzuführen. Als Workaround kann ein Administrator das Tag manuell verbieten, indem er `form, input, select, textarea, button` zur Konfigurationsoption `xml.htmlElementSanitizer.forbidTags` in der Konfigurationsdatei `xwiki.properties` hinzufügt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.