CVE-2023-36471 in Commons
Sumário
de VulDB • 09/05/2026
O XWiki Commons é composto pelos módulos comuns utilizados por outros projetos de nível superior do XWiki. O sanitizador de HTML incluído no XWiki desde a versão 14.6RC1 permitia as tags HTML `<form>` e `<input>`. No contexto do XWiki, isso permite que um atacante, sem permissão de script, crie formulários que podem ser usados para ataques de phishing ou, no contexto de uma folha (sheet), adicione uma entrada como `{{html}}{{/html}}`, o que permitiria a execução remota de código quando submetida por um administrador (a folha é renderizada como parte do formulário de edição). No entanto, o atacante precisaria garantir que o formulário de edição pareça plausível, o que pode não ser trivial, pois, sem permissão de script, o atacante não pode exibir o conteúdo regular do documento. Isso foi corrigido no XWiki 14.10.6 e 15.2RC1 removendo as tags relacionadas a formulários da lista de tags permitidas. Recomenda-se que os usuários atualizem. Como solução alternativa, um administrador pode proibir manualmente as tags adicionando `form, input, select, textarea, button` à opção de configuração `xml.htmlElementSanitizer.forbidTags` no arquivo de configuração `xwiki.properties`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.