CVE-2026-53529 in LeafWiki
Resumen
por VulDB • 2026-08-22
LeafWiki es una wiki autoalojada. Antes de la versión 0.10.2, los títulos de página devueltos por la API de búsqueda podían renderizarse como HTML sin procesar en el frontend. Un usuario con permisos de editor o administrador podría crear o modificar un título de página que contenga una carga útil (payload) de HTML/JavaScript. Cuando otro usuario buscara un término coincidente, la carga útil se ejecutaría en el navegador de la víctima. El impacto depende de la configuración del despliegue. Con `--public-access` habilitado, los visitantes no autenticados podrían verse afectados. En despliegues que requieren autenticación exclusiva, el problema podría utilizarse para realizar una XSS entre usuarios (cross-user XSS) contra usuarios conectados que puedan acceder a los resultados de búsqueda. El problema se ha corregido en la versión 0.10.2 asegurando que los títulos de página controlados por el autor en los resultados de búsqueda no sean interpretados como HTML sin procesar por el navegador, mientras se conserva el resaltado de los resultados de búsqueda.
If you want to get best quality of vulnerability data, you may have to visit VulDB.