Podatność CVE-2020-15274
Publikacja: 2020-10-26

Opis:
In Wiki.js before version 2.5.162, an XSS payload can be injected in a page title and executed via the search results. While the title is properly escaped in both the navigation links and the actual page title, it is not the case in the search results. Commit a57d9af34c15adbf460dde6553d964efddf433de fixes this vulnerability (version 2.5.162) by properly escaping the text content displayed in the search results.

Typ:

CWE-79

 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))

CVSS2 => (AV:N/AC:M/Au:S/C:N/I:P/A:N)

Ogólna skala CVSS
Znaczenie
Łatwość wykorzystania
3.5/10
2.9/10
6.8/10
Wymagany dostęp
Złożoność ataku
Autoryzacja
Zdalny
Średnia
Jednorazowa
Wpływ na poufność
Wpływ na integralność
Wpływ na dostępność
Brak
Częściowy
Brak
Affected software
Requarks -> Wiki.js 

 Referencje:
https://docs.requarks.io/releases
https://github.com/Requarks/wiki/commit/a57d9af34c15adbf460dde6553d964efddf433de
https://github.com/Requarks/wiki/security/advisories/GHSA-pgjv-84m7-62q7
Copyright 2024, cxsecurity.com

 

Back to Top