CVE-2023-36471 in Commons
Сводка
по VulDB • 23.06.2026
XWiki Commons — это общие модули, используемые другими проектами верхнего уровня XWiki. Санитайзер HTML, включенный в XWiki начиная с версии 14.6RC1, позволял использовать теги форм и ввода (input). В контексте XWiki это позволяет злоумышленнику без права на выполнение скриптов либо создавать формы, которые могут быть использованы для фишинговых атак, либо, в контексте листа (sheet), добавлять ввод вида `{{html}}{{/html}}`, что позволит выполнить удаленный код при его отправке администратором (лист рендерится как часть формы редактирования). Однако злоумышленник должен убедиться, что форма редактирования выглядит правдоподобно, что может быть нетривиальной задачей, так как без права на выполнение скриптов он не может отображать обычное содержимое документа. Эта уязвимость была исправлена в XWiki 14.10.6 и 15.2RC1 путем удаления центральных тегов, связанных с формами, из списка разрешенных тегов. Пользователям рекомендуется обновиться. В качестве временного решения администратор может вручную запретить эти теги, добавив `form, input, select, textarea, button` в параметр конфигурации `xml.htmlElementSanitizer.forbidTags` в файле конфигурации `xwiki.properties`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.