CVE-2023-31126
Açıklama
`org.xwiki.commons:xwiki-commons-xml`, açık kaynaklı wiki platformu XWiki tarafından kullanılan bir XML kütüphanesidir. 14.6-rc-1 sürümünde tanıtılan HTML temizleyici, geçersiz data öznitelikleri aracılığıyla rastgele HTML kodunun enjekte edilmesine ve dolayısıyla siteler arası betik çalıştırmaya (XSS) olanak tanır. Bu güvenlik açığı, HTMLCleaner'daki kısıtlı temizlemeyi etkilemez çünkü burada öznitelikler temizlenir ve böylece `/` ve `>` gibi karakterler tüm öznitelik adlarından kaldırılır. Bu sorun, data özniteliklerinin yalnızca izin verilen karakterleri içerdiğinden emin olunarak XWiki 14.10.4 ve 15.0 RC1 sürümlerinde giderilmiştir. Düzeltmeyi içeren bir sürüme yükseltme dışında bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- xwiki xwiki14.10.4 ya da sonraki bir sürüm
- org.xwiki.commons:xwiki-commons-xml14.10.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 14.6 ≤ v < 14.10.4 | 14.10.4 |
| org.xwiki.commons:xwiki-commons-xmlMaven | 14.6-rc-1 ≤ v < 14.10.4 | 14.10.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.