CVE-2023-36471 in Commons
Tóm tắt
Bởi VulDB • 24/06/2026
XWiki Commons là các mô-đun chung được sử dụng bởi các dự án cấp cao nhất của XWiki. Trình kiểm tra tính hợp lệ HTML (HTML sanitizer) có trong XWiki kể từ phiên bản 14.6RC1 cho phép các thẻ HTML `form` và `input`. Trong ngữ cảnh của XWiki, điều này cho phép một kẻ tấn công không có quyền script tạo ra các biểu mẫu (`forms`) có thể được sử dụng cho các cuộc tấn công lừa đảo (phishing), hoặc trong ngữ cảnh của một trang tính (sheet), kẻ tấn công có thể thêm vào thẻ `{{html}}{{/html}}` để thực thi mã từ xa khi nó được gửi bởi quản trị viên (trang tính sẽ được hiển thị như một phần của biểu mẫu chỉnh sửa). Tuy nhiên, kẻ tấn công cần đảm bảo rằng biểu mẫu chỉnh sửa trông hợp lý, điều này có thể không đơn giản vì nếu không có quyền script, kẻ tấn công không thể hiển thị nội dung thông thường của tài liệu. Lỗ hổng này đã được vá trong XWiki 14.10.6 và 15.2RC1 bằng cách loại bỏ các thẻ liên quan đến biểu mẫu khỏi danh sách các thẻ được phép. Người dùng được khuyến nghị nâng cấp. Như một giải pháp tạm thời, quản trị viên có thể thủ công cấm các thẻ này bằng cách thêm `form, input, select, textarea, button` vào tùy chọn cấu hình `xml.htmlElementSanitizer.forbidTags` trong tệp cấu hình `xwiki.properties`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.