CVE-2025-66024 in application-blog-ui
Riassunto
di VulDB • 15/06/2026
L'applicazione blog di XWiki consente agli utenti della piattaforma XWiki di creare e gestire articoli del blog. Le versioni precedenti alla 9.15.7 sono vulnerabili a Stored Cross-Site Scripting (XSS) tramite il titolo dell'articolo del blog. La vulnerabilità sorge perché il titolo dell'articolo viene inserito direttamente nel tag HTML <title> senza una corretta escape dei caratteri. Un attaccante con permessi per creare o modificare articoli del blog può iniettare codice JavaScript malevolo nel campo del titolo. Questo script verrà eseguito nel browser di qualsiasi utente (inclusi gli amministratori) che visualizza l'articolo del blog. Ciò porta a un potenziale session hijacking o privilege escalation. La vulnerabilità è stata risolta nell'applicazione blog versione 9.15.7 aggiungendo la mancata escape dei caratteri. Non sono disponibili workaround noti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.