Wysoka

XWiki-Platform vulnerable to stored Cross-site Scripting via the HTML displayer in Live Data

Ujawniono: 03.03.2023
Aktualizacja: 11.10.2026 13:19

Impact

A user without script rights can introduce a stored XSS by using the Live Data macro.

For instance:

{{liveData id="movies" properties="title,description"}}
{
  "data": {
    "count": 1,
    "entries": [
      {
        "title": "Meet John Doe",
        "url": "https://www.imdb.com/title/tt0033891/",
        "description": "<img onerror='alert(1)' src='foo' />"
      }
    ]
  },
  "meta": {
    "propertyDescriptors": [
      {
        "id": "title",
        "name": "Title",
        "visible": true,
        "displayer": {"id": "link", "propertyHref": "url"}
      },
      {
        "id": "description",
        "name": "Description",
        "visible": true,
        "displayer": "html"
      }
    ]
  }
}
{{/liveData}}

Patches

This has been patched in XWiki 14.9, 14.4.7, and 13.10.10.

Workarounds

No known workaround.

References

https://jira.xwiki.org/browse/XWIKI-20143

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira
Email us at Security ML

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-livedata-macro	>= 12.10, < 13.10.10, >= 14.0, < 14.4.7, >= 14.5, < 14.9	13.10.10, 14.4.7, 14.9

Odnośniki

Ocena CVSS 8.9/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
Słabość (CWE): CWE-79
Platforma: Java / Kotlin (Maven)
Paczka: org.xwiki.platform:xwiki-platform-livedata-macro
Ujawniono: 03.03.2023
Aktualizacja: 11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-32fq-m2q5-h83g - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-livedata-macro

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 03.2023 04.2023
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 2

Ujawnienia w latach

2023: 2
2024: 0
2025: 0
2026: 0

12.04.2023

org.xwiki.platform:xwiki-platform-livedata-macro vulnerable to Basic Cross-site Scripting

Wysoka · 8.9 CVE-2023-29508 >= 13.10.10, < 13.10.11, >= 14.4, < 14.4.7, >= 14.9, < 14.10 13.10.11, 14.4.7, 14.10
03.03.2023

XWiki-Platform vulnerable to stored Cross-site Scripting via the HTML displayer in Live Data ten wpis

Wysoka · 8.9 CVE-2023-26480 >= 12.10, < 13.10.10, >= 14.0, < 14.4.7, >= 14.5, < 14.9 13.10.10, 14.4.7, 14.9

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację