目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2023-36471— XWiki Commons 跨站脚本漏洞

一分钟漏洞结论

影响对象
xwiki xwiki-commons
利用判断
存在公开或 AI PoC，应优先验证
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

XWiki Commons是法国XWiki基金会的其他几个顶级 XWiki 项目共有的技术库。 XWiki Commons 9.6-rc-1到 14.10.6版本、 15.0-rc-1到 15.2-rc-1版本存在跨站脚本漏洞，该漏洞源于XWiki 中包含的 HTML 清理程序允许表单和输入 HTML 标签，这允许没有脚本权限的攻击者创建可用于网络钓鱼攻击的表单。

CVSS 9.1 · Critical EPSS 1.03% · P62
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2023-36471 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
HTML sanitizer allows form elements in restricted in org.xwiki.commons:xwiki-commons-xml
来源: CVE Program / CVE List V5
Vulnerability Description
Xwiki commons is the common modules used by other XWiki top level projects. The HTML sanitizer that is included in XWiki since version 14.6RC1 allowed form and input HTML tags. In the context of XWiki, this allows an attacker without script right to either create forms that can be used for phishing attacks or also in the context of a sheet, the attacker could add an input like `{{html}}<input type="hidden" name="content" value="{{groovy}}println(&quot;Hello from Groovy!&quot;)" />{{/html}}` that would allow remote code execution when it is submitted by an admin (the sheet is rendered as part of the edit form). The attacker would need to ensure that the edit form looks plausible, though, which can be non-trivial as without script right the attacker cannot display the regular content of the document. This has been patched in XWiki 14.10.6 and 15.2RC1 by removing the central form-related tags from the list of allowed tags. Users are advised to upgrade. As a workaround an admin can manually disallow the tags by adding `form, input, select, textarea, button` to the configuration option `xml.htmlElementSanitizer.forbidTags` in the `xwiki.properties` configuration file.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
输出中的特殊元素转义处理不恰当(注入)
来源: CVE Program / CVE List V5
Vulnerability Title
XWiki Commons 跨站脚本漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
XWiki Commons是法国XWiki基金会的其他几个顶级 XWiki 项目共有的技术库。 XWiki Commons 9.6-rc-1到 14.10.6版本、 15.0-rc-1到 15.2-rc-1版本存在跨站脚本漏洞，该漏洞源于XWiki 中包含的 HTML 清理程序允许表单和输入 HTML 标签，这允许没有脚本权限的攻击者创建可用于网络钓鱼攻击的表单。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
xwiki xwiki-commons >= 14.6-rc-1, < 14.10.6 -

二、漏洞 CVE-2023-36471 的公开POC

# POC 描述 源链接 神龙链接
1 None https://github.com/shoucheng3/xwiki__xwiki-commons_CVE-2023-36471_14-10-5 POC详情
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2023-36471 的情报信息

请登录查看更多情报信息。

CVE-2023-36471 补丁与修复 (1)

CVE-2023-36471 厂商安全公告 (1)

CVE-2023-36471 其他参考 (1)

同批安全公告 · xwiki · 2023-06-29 · 共 4 条

CVE-2023-36468 10.0 CRITICAL XWiki Platform 安全漏洞
CVE-2023-36469 10.0 CRITICAL XWiki Platform 注入漏洞
CVE-2023-36470 10.0 CRITICAL XWiki Platform 注入漏洞

IV. Related Vulnerabilities

Same product: xwiki-commons
Same vendor: xwiki
Same weakness: CWE-74

V. Comments for CVE-2023-36471

暂无评论

发表评论