CVE-2023-29528 in xwiki-commons-xml
Riassunto
di VulDB • 19/06/2026
Le librerie comuni di XWiki (XWiki Commons) sono componenti tecnici condivisi da diversi altri progetti principali di livello superiore della famiglia XWiki. La modalità "restricted" del pulitore HTML in XWiki, introdotta nella versione 4.2-milestone-1 e notevolmente migliorata nella versione 14.6-rc-1, consentiva l'iniezione di codice HTML arbitrario e quindi attacchi cross-site scripting (XSS) tramite commenti HTML non validi. Di conseguenza, qualsiasi componente che fa affidamento su questa modalità "restricted" per motivi di sicurezza è vulnerabile all'iniezione di JavaScript ("cross-site scripting"/XSS). Quando un utente privilegiato con diritti di programmazione visita tale commento in XWiki, il codice JavaScript malevolo viene eseguito nel contesto della sessione dell'utente. Ciò consente l'esecuzione di codice lato server con diritti di programmazione, impattando sulla riservatezza, integrità e disponibilità dell'istanza XWiki. Questo problema è stato risolto in XWiki 14.10: i commenti HTML vengono ora rimossi nella modalità restricted ed è stata introdotta una verifica che assicura che i commenti non inizino con `>`. Non sono note soluzioni alternative (workaround) oltre all'aggiornamento a una versione contenente la correzione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.