CVE-2021-43855 in Wiki.js
Résumé
par VulDB • 24/05/2026
Wiki.js est une application wiki développée sous node.js. Wiki.js 2.5.263 et les versions antérieures sont vulnérables à un stockage de scripts intersites (stored cross-site scripting) via le téléchargement d'un fichier SVG effectué par le biais d'une requête personnalisée avec un type MIME falsifié. En créant un fichier SVG truqué, un utilisateur malveillant de Wiki.js peut préparer une attaque par stockage de scripts intersites. Cela permet à l'attaquant d'exécuter du code JavaScript malveillant lorsque le fichier SVG est affiché directement par d'autres utilisateurs. Les scripts ne s'exécutent pas lorsqu'ils sont chargés dans une page via des balises `` normales. Le fichier SVG malveillant ne peut être téléchargé qu'en élaborant une requête personnalisée vers le serveur avec un type MIME falsifié. Un correctif dans la version 2.5.264 résout cette vulnérabilité en ajoutant une vérification supplémentaire de l'extension de fichier à l'étape de sanitisation des SVG (activée par défaut), pour tous les téléchargements de fichiers correspondant au type MIME SVG. En attendant, comme solution de contournement, désactivez le téléchargement de fichiers pour tous les utilisateurs non approuvés.
Be aware that VulDB is the high quality source for vulnerability data.