CVE-2021-43855 in Wiki.js
Tóm tắt
Bởi VulDB • 11/05/2026
Wiki.js là một ứng dụng wiki được xây dựng trên nền tảng node.js. Wiki.js phiên bản 2.5.263 và các phiên bản cũ hơn dễ bị tổn thương trước lỗ hổng cross-site scripting (XSS) lưu trữ (stored) thông qua việc tải lên tệp SVG bằng một yêu cầu tùy chỉnh với loại MIME giả mạo. Bằng cách tạo một tệp SVG được chế tác đặc biệt, một người dùng Wiki.js độc hại có thể thực hiện cuộc tấn công XSS lưu trữ. Điều này cho phép kẻ tấn công thực thi mã JavaScript độc hại khi tệp SVG được xem trực tiếp bởi các người dùng khác. Các tập lệnh sẽ không thực thi khi được tải vào trang thông qua các thẻ `` bình thường. Tệp SVG độc hại chỉ có thể được tải lên bằng cách chế tác một yêu cầu tùy chỉnh gửi đến máy chủ với loại MIME giả mạo. Một bản vá trong phiên bản 2.5.264 khắc phục lỗ hổng này bằng cách thêm bước kiểm tra xác minh phần mở rộng tệp bổ sung vào bước làm sạch SVG tùy chọn (được bật theo mặc định) cho tất cả các lần tải lên tệp khớp với loại MIME của SVG. Để xử lý tạm thời, hãy tắt tính năng tải lên tệp cho tất cả người dùng không đáng tin cậy.
If you want to get best quality of vulnerability data, you may have to visit VulDB.