CVE-2023-29528

XWiki Commons bir neçə digər üst səviyyəli XWiki layihələri üçün ortaq texniki kitabxanalardır. XWiki-dəki HTML təmizləyicinin versiya 4.2-milestone-1-də təqdim edilən və versiya 14.6-rc-1-də əhəmiyyətli dərəcədə təkmilləşdirilən "restricted" rejimi, etibarsız HTML şərhləri vasitəsilə ixtiyari HTML kodunun inyeksiyasına və beləliklə saytlararası skriptinqə (XSS) yol açırdı. Nəticə etibarilə, təhlükəsizlik üçün bu "restricted" rejimindən istifadə edən hər hansı kod JavaScript inyeksiyasına ("cross-site scripting"/XSS) qarşı həssasdır. Proqramlaşdırma hüquqlarına malik imtiyazlı istifadəçi XWiki-də belə bir şərhə baxdıqda, zərərli JavaScript kodu istifadəçi sessiyasının kontekstində icra olunur. Bu, proqramlaşdırma hüquqları ilə server tərəfində kodun icrasına imkan verir ki, bu da XWiki instansiyasının konfidensiallığına, bütövlüyünə və əlçatanlığına təsir göstərir. Bu problem XWiki 14.10 versiyasında aradan qaldırılıb; artıq "restricted" rejimində HTML şərhləri silinir və şərhlərin `>` simvolu ilə başlamadığını təmin edən yoxlama tətbiq edilib. Düzəlişi ehtiva edən versiyaya yeniləməkdən başqa məlum alternativ həll yolu yoxdur.