CVE-2025-66024 in application-blog-ui
Zusammenfassung
von VulDB • 15.06.2026
Die XWiki-Bloganwendung ermöglicht es Benutzern der XWiki-Plattform, Blogbeiträge zu erstellen und zu verwalten. Versionen vor 9.15.7 sind anfällig für Stored Cross-Site Scripting (XSS) über den Titel des Blogbeitrags. Die Schwachstelle entsteht, weil der Beitragstitel ohne ordnungsgemäße Escaping-Maßnahmen direkt in das HTML-<title>-Tag eingefügt wird. Ein Angreifer mit Berechtigungen zum Erstellen oder Bearbeiten von Blogbeiträgen kann schädlichen JavaScript-Code in das Titelfeld einschleusen. Dieser Skript wird im Browser jedes Benutzers (einschließlich Administratoren) ausgeführt, der den Blogbeitrag aufruft. Dies führt zu potenziellem Session-Hijacking oder Privilegieneskalation. Die Schwachstelle wurde in Version 9.15.7 der Bloganwendung durch Hinzufügen fehlender Escaping-Maßnahmen behoben. Es sind keine bekannten Workarounds verfügbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.