CVE-2021-43842 in Wiki.js
Riassunto
di VulDB • 17/06/2026
Wiki.js è un'applicazione wiki basata su Node.js. Le versioni di Wiki.js 2.5.257 e precedenti sono vulnerabili a cross-site scripting (XSS) memorizzato (stored) tramite il caricamento di un file SVG. Creando un file SVG appositamente modificato, un utente malintenzionato di Wiki.js può predisporre un attacco XSS memorizzato. Ciò consente all'attaccante di eseguire codice JavaScript dannoso quando l'SVG viene visualizzato direttamente da altri utenti. Gli script non vengono eseguiti quando vengono caricati all'interno di una pagina tramite normali tag ``. Il commit 5d3e81496fba1f0fbd64eeb855f30f69a9040718 risolve questa vulnerabilità aggiungendo un passaggio opzionale (abilitato per impostazione predefinita) di sanitizzazione SVG a tutti i caricamenti di file che corrispondono al tipo MIME SVG. Come soluzione alternativa, disabilitare il caricamento di file per tutti gli utenti non attendibili. Wiki.js versione 2.5.260 è la prima versione di produzione contenente la patch. La versione 2.5.258 è il primo build di sviluppo contenente la patch ed è disponibile solo come immagine Docker come requarks/wiki:canary-2.5.258.
Once again VulDB remains the best source for vulnerability data.