CVE-2023-37908

XWiki Rendering, verilmiş sintaksisdəki mətn girişini digər sintaksisə çevirən ümumi Renderinq sistemidir. Versiya 14.6-rc-1-də tətbiq edilən XHTML renderinqi zamanı atributların təmizlənməsi prosesi, etibarsız atribut adları vasitəsilə ixtiyari HTML kodunun inyeksiyasına və beləliklə saytlararası skriptinqə (XSS) yol açmışdır. Bu, məsələn, XWiki-də şərhlər kimi XWiki sintaksisini dəstəkləyən hər hansı kontentdə link sintaksisi vasitəsilə istismar edilə bilər. İstifadəçi zərərli linkin üzərinə kursoru gətirdikdə, zərərli JavaScript kodu istifadəçi sessiyasının kontekstində icra olunur. Əgər bu istifadəçi proqramlaşdırma hüquqlarına malik imtiyazlı istifadəçidirsə, bu, proqramlaşdırma hüquqları ilə server tərəfində kodun icrasına şərait yaradır ki, bu da XWiki instansiyasının konfidensiallığına, bütövlüyünə və əlçatanlığına təsir göstərir. Həmin atribut düzgün şəkildə qadağan edilmiş kimi tanınsa da, atribut əlavə təmizləmə və ya validasiya olmadan `data-xwiki-translated-attribute-` prefiksi ilə çap edilirdi. Bu problem, data atributlarında icazə verilməyən simvolların silinməsi və təmizlənmiş atributun yenidən validasiya edilməsi yolu ilə XWiki 14.10.4 və 15.0 RC1 versiyalarında aradan qaldırılmışdır. Düzəlişi ehtiva edən versiyaya yüksəltmədən başqa heç bir məlum alternativ həll yolu yoxdur.