CVE-2021-43855

Wiki.js, node.js üzerinde oluşturulmuş bir wiki uygulamasıdır. Wiki.js 2.5.263 ve önceki sürümleri, sahte bir MIME türü ile yapılan özel bir istek aracılığıyla yüklenen SVG dosyaları üzerinden saklanan siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Kötü niyetli bir Wiki.js kullanıcısı, özel olarak hazırlanmış bir SVG dosyası oluşturarak saklanan bir siteler arası betik çalıştırma saldırısı düzenleyebilir. Bu durum, SVG dosyası diğer kullanıcılar tarafından doğrudan görüntülendiğinde saldırganın kötü amaçlı JavaScript kodu çalıştırmasına olanak tanır. Betikler, normal `<img>` etiketleri aracılığıyla bir sayfa içinde yüklendiğinde çalışmaz. Kötü amaçlı SVG, yalnızca sunucuya sahte bir MIME türü içeren özel bir istek gönderilerek yüklenebilir. Sürüm 2.5.264'teki bir yama, SVG mime türüyle eşleşen tüm dosya yüklemeleri için isteğe bağlı (varsayılan olarak etkin) SVG temizleme adımına ek bir dosya uzantısı doğrulama kontrolü ekleyerek bu zafiyeti gidermektedir. Geçici bir çözüm olarak, güvenilmeyen tüm kullanıcılar için dosya yükleme özelliği devre dışı bırakılmalıdır.