CVE-2023-29202

XWiki Commons, diğer birçok üst düzey XWiki projesi için ortak olan teknik kütüphanelerdir. XWiki ile birlikte gelen RSS makrosunda, `content` parametresi `true` olarak ayarlandığında, besleme öğelerinin içeriği HTML çıktısında herhangi bir temizleme işlemi yapılmadan dahil ediliyordu. Bu durum, kötü amaçlı içerik barındıran bir RSS beslemesi belirtilerek rastgele HTML ve özellikle de JavaScript enjeksiyonuna, dolayısıyla siteler arası betik çalıştırmaya (XSS) izin veriyordu. Programlama yetkilerine sahip bir kullanıcının etkileşimiyle bu durum; yetki yükseltme, uzaktan kod çalıştırma, bilgi ifşası, içeriğin değiştirilmesi veya silinmesi ve wikinin sabote edilmesi dahil olmak üzere wiki üzerinde rastgele işlemler yürütmek için kullanılabilirdi. Sorun XWiki 14.6 RC1 sürümünde giderilmiştir; besleme içeriği artık görüntülenmeden önce uygun şekilde temizlenmektedir. Geçici bir çözüm olarak, eğer RSS makrosu wikide kullanılmıyorsa, web uygulaması dizinindeki `WEB-INF/lib/xwiki-platform-rendering-macro-rss-XX.jar` (`XX` XWiki versiyonudur) dosyası silinerek makro kaldırılabilir.