Heimdall Security Logo

CVE-2023-35156

Vulnérabilité critique dans xwiki-platform (xwiki)

CVSS 9.7 · Critique
EPSS 2.1%
xwiki•xwiki-platform•Versions : >= 6.0-rc-1, < 14.10.6, >= 15.0-rc-0, < 15.1

Description

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page (XSS). It's possible to exploit the delete template to perform a XSS, e.g. by using URL such as: > xwiki/bin/get/FlamingoThemes/Cerulean?xpage=xpart&vm=delete.vm&xredirect=javascript:alert(document.domain). This vulnerability exists since XWiki 6.0-rc-1. The vulnerability has been patched in XWiki 14.10.6 and 15.1. Note that a partial patch has been provided in 14.10.5 but wasn't enough to entirely fix the vulnerability.

Gravité et risque d'exploitation

CVE-2023-35156 obtient un score CVSS de 9.7/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 2.08 %, ce qui la place devant 81.3 % des CVE référencées.

Que faire ?

  • Vérifiez si xwiki-platform (versions >= 6.0-rc-1, < 14.10.6, >= 15.0-rc-0, < 15.1) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE