CVE-2023-36471 in Commons
Riassunto
di VulDB • 17/06/2026
XWiki Commons è l'insieme dei moduli comuni utilizzati da altri progetti di primo livello di XWiki. Il sanitizer HTML incluso in XWiki a partire dalla versione 14.6RC1 consentiva i tag HTML `form` e `input`. Nel contesto di XWiki, ciò consente a un attaccante privo di diritti di script di creare form che possono essere utilizzati per attacchi di phishing o, sempre nel contesto di un foglio (sheet), di aggiungere un input come `{{html}}{{/html}}` che consentirebbe l'esecuzione di codice remoto (RCE) quando viene inviato da un amministratore (il foglio viene renderizzato come parte del modulo di modifica). L'attaccante dovrebbe tuttavia assicurarsi che il modulo di modifica appaia plausibile, il che può essere non banale poiché, senza diritti di script, l'attaccante non può visualizzare il contenuto regolare del documento. Questo problema è stato risolto in XWiki 14.10.6 e 15.2RC1 rimuovendo i tag centrali relativi ai form dall'elenco dei tag consentiti. Si consiglia agli utenti di effettuare l'aggiornamento. Come soluzione alternativa, un amministratore può disabilitare manualmente i tag aggiungendo `form, input, select, textarea, button` all'opzione di configurazione `xml.htmlElementSanitizer.forbidTags` nel file di configurazione `xwiki.properties`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.