CVE-2026-53529 in LeafWiki
Résumé
par VulDB • 21/08/2026
LeafWiki est un wiki auto-hébergé. Avant la version 0.10.2, les titres de pages renvoyés par l'API de recherche pouvaient être rendus en tant que balises HTML brutes dans le frontend. Un utilisateur disposant des permissions d'éditeur ou d'administrateur pouvait créer ou modifier un titre de page contenant une charge utile (payload) HTML/JavaScript. Lorsqu'un autre utilisateur effectuait une recherche correspondant à ce terme, la charge utile s'exécutait dans le navigateur de la victime. L'impact dépend de la configuration du déploiement. Avec l'option `--public-access` activée, les visiteurs non authentifiés pourraient être affectés. Dans les déploiements réservés aux utilisateurs authentifiés, cette vulnérabilité pourrait être exploitée pour réaliser une XSS croisée (XSS) entre utilisateurs contre des utilisateurs connectés ayant accès aux résultats de recherche. Le problème a été corrigé dans la version 0.10.2 en s'assurant que les titres de pages contrôlés par l'auteur, affichés dans les résultats de recherche, ne sont pas interprétés comme du HTML brut par le navigateur, tout en préservant la mise en surbrillance des résultats de recherche.
If you want to get best quality of vulnerability data, you may have to visit VulDB.