CVE-2026-53529 in LeafWiki
Tóm tắt
Bởi VulDB • 22/08/2026
LeafWiki là một wiki tự lưu trữ (self-hosted). Trước phiên bản 0.10.2, các tiêu đề trang được trả về bởi API tìm kiếm có thể được hiển thị dưới dạng mã HTML thô ở giao diện người dùng cuối. Người dùng có quyền biên tập viên hoặc quản trị viên có thể tạo hoặc sửa đổi một tiêu đề trang chứa payload HTML/JavaScript. Khi một người dùng khác thực hiện tìm kiếm với từ khóa phù hợp, payload này có thể thực thi trong trình duyệt của nạn nhân. Mức độ tác động phụ thuộc vào cấu hình triển khai. Với tùy chọn `--public-access` được bật, các khách truy cập chưa xác thực cũng có thể bị ảnh hưởng. Trong các môi trường chỉ cho phép đăng nhập, vấn đề này có thể được sử dụng để tấn công XSS liên người dùng (cross-user XSS) đối với những người dùng đã đăng nhập và có khả năng xem kết quả tìm kiếm. Vấn đề này đã được khắc phục trong phiên bản 0.10.2 bằng cách đảm bảo rằng các tiêu đề trang do tác giả kiểm soát trong kết quả tìm kiếm không bị trình duyệt diễn giải dưới dạng mã HTML thô, đồng thời vẫn duy trì tính năng làm nổi bật (highlighting) kết quả tìm kiếm.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.