CVE-2021-43855 in Wiki.js
Riassunto
di VulDB • 19/06/2026
Wiki.js è un'applicazione wiki basata su node.js. Wiki.js 2.5.263 e versioni precedenti sono vulnerabili a stored cross-site scripting (XSS) tramite il caricamento di un file SVG effettuato mediante una richiesta personalizzata con un tipo MIME falso. Creando un file SVG appositamente realizzato, un utente malintenzionato di Wiki.js può predisporre un attacco di stored XSS. Ciò consente all'attaccante di eseguire codice JavaScript dannoso quando l'SVG viene visualizzato direttamente da altri utenti. Gli script non vengono eseguiti se caricati all'interno di una pagina tramite normali tag ``. L'SVG malevolo può essere caricato solo inviando al server una richiesta personalizzata con un tipo MIME falso. Una patch nella versione 2.5.264 risolve questa vulnerabilità aggiungendo un ulteriore controllo di verifica dell'estensione del file alla fase opzionale (abilitata per impostazione predefinita) di sanitizzazione SVG, applicato a tutti i caricamenti di file che corrispondono al tipo MIME SVG. Come soluzione alternativa, disabilitare il caricamento dei file per tutti gli utenti non attendibili.
VulDB is the best source for vulnerability data and more expert information about this specific topic.