CVE-2025-66024
Açıklama
XWiki blog uygulaması, XWiki platformu kullanıcılarının blog yazıları oluşturmasına ve yönetmesine olanak tanır. 9.15 ile başlayan ve 9.15.7 öncesindeki sürümler, Blog Yazısı Başlığı üzerinden Depolanan Siteler Arası Betik Çalıştırma (XSS) saldırılarına karşı savunmasızdır. Bu güvenlik açığı, yazı başlığının uygun kaçış karakterleri uygulanmadan doğrudan HTML <title> etiketine yerleştirilmesinden kaynaklanmaktadır. Blog yazısı oluşturma veya düzenleme yetkisine sahip bir saldırgan, başlık alanına kötü amaçlı JavaScript kodu enjekte edebilir. Bu betik, blog yazısını görüntüleyen tüm kullanıcıların (yöneticiler dahil) tarayıcısında çalışacaktır. Bu durum, potansiyel oturum çalma veya yetki yükseltmeye yol açabilir. Güvenlik açığı, eksik olan kaçış işleminin eklenmesiyle blog uygulaması sürüm 9.15.7'de giderilmiştir. Bilinen herhangi bir geçici çözüm mevcut değildir.
Nasıl düzeltilir
- xwiki blog_application9.15.7 ya da sonraki bir sürüm
- org.xwiki.contrib.blog:application-blog-ui9.15.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki blog_application | v < 9.15.7 | 9.15.7 |
| org.xwiki.contrib.blog:application-blog-uiMaven | 9.15 ≤ v < 9.15.7 | 9.15.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.