CVE-2021-21383

Node.js üzerinde oluşturulmuş açık kaynaklı bir wiki uygulaması olan Wiki.js'in 2.5.191 sürümünden önceki versiyonları, kod bloklarındaki mustache ifadeleri aracılığıyla saklanan siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Bu zafiyet, içerik enjeksiyonu sırasında mustache ifadelerinin, bir `<pre>` elementi içerisinde yer almasına rağmen Vue tarafından ayrıştırılmasından kaynaklanmaktadır. Kötü niyetli bir Wiki.js kullanıcısı, özel olarak hazırlanmış bir wiki sayfası oluşturarak saklanan bir siteler arası betik çalıştırma saldırısı düzenleyebilir. Bu durum, sayfa diğer kullanıcılar tarafından görüntülendiğinde saldırganın kötü amaçlı JavaScript kodu çalıştırmasına olanak tanır. Örnek için ilgili GitHub Security Advisory'ye bakınız. 5ffa189383dd716f12b56b8cae2ba0d075996cf1 commit'i, işleme (render) sırasında tüm `<pre>` etiketlerine v-pre direktifini ekleyerek bu zafiyeti gidermektedir.