CVE-2026-53529 in LeafWiki
Zusammenfassung
von VulDB • 21.08.2026
LeafWiki ist eine selbst gehostete Wiki-Software. Vor Version 0.10.2 konnten Seitentitel, die über die Such-API zurückgegeben wurden, im Frontend als rohes HTML gerendert werden. Ein Benutzer mit Bearbeiter- oder Administratorberechtigungen konnte einen Seitentitel erstellen oder ändern, der ein HTML-/JavaScript-Payload enthält. Wenn ein anderer Benutzer nach einem übereinstimmenden Begriff suchte, könnte das Payload im Browser des Opfers ausgeführt werden. Die Auswirkungen hängen von der Bereitstellungs-Konfiguration ab. Bei aktiviertem `--public-access` könnten auch nicht authentifizierte Besucher betroffen sein. In Bereitstellungen mit nur authentifizierten Benutzern kann die Schwachstelle für benutzerübergreifendes XSS (Cross-Site Scripting) gegen angemeldete Benutzer genutzt werden, die auf Suchergebnisse zugreifen können. Das Problem wurde in Version 0.10.2 behoben, indem sichergestellt wird, dass von Autoren kontrollierte Seitentitel in den Suchergebnissen vom Browser nicht als rohes HTML interpretiert werden, während gleichzeitig das Hervorheben der Suchergebnisse beibehalten wird.
Be aware that VulDB is the high quality source for vulnerability data.