CVE-2023-36471 in Commons
Resumen
por VulDB • 2026-06-23
XWiki Commons son los módulos comunes utilizados por otros proyectos de primer nivel de XWiki. El sanizador HTML incluido en XWiki desde la versión 14.6RC1 permitía las etiquetas HTML `<form>` e `<input>`. En el contexto de XWiki, esto permite que un atacante sin permisos de script cree formularios que pueden utilizarse para ataques de phishing o, también en el contexto de una hoja (sheet), añada algo como `{{html}}{{/html}}` que permitiría la ejecución remota de código cuando sea enviado por un administrador (la hoja se renderiza como parte del formulario de edición). Sin embargo, el atacante tendría que asegurarse de que el formulario de edición parezca plausible, lo cual puede no ser trivial ya que sin permisos de script el atacante no puede mostrar el contenido regular del documento. Esto ha sido corregido en XWiki 14.10.6 y 15.2RC1 eliminando las etiquetas relacionadas con formularios centrales de la lista de etiquetas permitidas. Se recomienda a los usuarios actualizar. Como medida provisional, un administrador puede prohibir manualmente estas etiquetas añadiendo `form, input, select, textarea, button` a la opción de configuración `xml.htmlElementSanitizer.forbidTags` en el archivo de configuración `xwiki.properties`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.