CVE-2023-36471 in Commons
요약
\~에 의해 VulDB • 2026. 06. 24.
XWiki Commons는 다른 XWiki 상위 프로젝트에서 사용되는 공통 모듈입니다. XWiki 14.6RC1부터 포함된 HTML 정화기(form sanitizer)가 form 및 input HTML 태그를 허용했습니다. XWiki 컨텍스트에서 이는 스크립트 권한이 없는 공격자가 피싱 공격에 사용될 수 있는 양식을 생성하거나, 시트(sheet) 컨텍스트에서는 `{{html}}{{/html}}`와 같은 입력을 추가하여 관리자에 의해 제출되었을 때 원격 코드 실행(RCE)을 허용할 수 있습니다. 단, 공격자는 스크립트 권한이 없기 때문에 문서의 일반 콘텐츠를 표시할 수 없다는 점을 고려해 편집 양식이 합리적으로 보이도록 해야 하는데, 이는 쉽지 않을 수 있습니다. 이 문제는 XWiki 14.10.6 및 15.2RC1에서 허용된 태그 목록에서 중앙 형식 관련 태그를 제거함으로써 패치되었습니다. 사용자는 업그레이드를 권장합니다. 우회 조치로 관리자는 `xwiki.properties` 구성 파일의 `xml.htmlElementSanitizer.forbidTags` 구성 옵션에 `form, input, select, textarea, button`을 추가하여 해당 태그를 수동으로 금지할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.