Hoch

org.xwiki.platform:xwiki-platform-livedata-macro vulnerable to Basic Cross-site Scripting

Veröffentlicht: 12.04.2023
Aktualisiert: 11.10.2026 12:21

Impact

A user without script rights can introduce a stored XSS by using the Live Data macro, if the last author of the content of the page has script rights.

For instance, by adding the LiveData below in the about section of the profile of a user created by an admin.

{{liveData id="movies" properties="title,description"}}
{
  "data": {
    "count": 1,
    "entries": [
      {
        "title": "Meet John Doe",
        "url": "https://www.imdb.com/title/tt0033891/",
        "description": "<img onerror='alert(1)' src='foo' />"
      }
    ]
  },
  "meta": {
    "propertyDescriptors": [
      {
        "id": "title",
        "name": "Title",
        "visible": true,
        "displayer": {"id": "link", "propertyHref": "url"}
      },
      {
        "id": "description",
        "name": "Description",
        "visible": true,
        "displayer": "html"
      }
    ]
  }
}
{{/liveData}}

Patches

This has been patched in XWiki 14.10, 14.4.7, and 13.10.11.

Workarounds

No known workaround.

References

https://jira.xwiki.org/browse/XWIKI-20312

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira
Email us at Security ML

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-livedata-macro	>= 13.10.10, < 13.10.11, >= 14.4, < 14.4.7, >= 14.9, < 14.10	13.10.11, 14.4.7, 14.10

Verweise

CVSS-Wert 8.9/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
Schwäche (CWE): CWE-79, CWE-80
Plattform: Java / Kotlin (Maven)
Paket: org.xwiki.platform:xwiki-platform-livedata-macro
Veröffentlicht: 12.04.2023
Aktualisiert: 11.10.2026 12:21

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-hmm7-6ph9-8jf2 - CC BY 4.0

Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-livedata-macro

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 03.2023 04.2023
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 2

Veröffentlichungen pro Jahr

2023: 2
2024: 0
2025: 0
2026: 0

12.04.2023

org.xwiki.platform:xwiki-platform-livedata-macro vulnerable to Basic Cross-site Scripting dieser Eintrag

Hoch · 8.9 CVE-2023-29508 >= 13.10.10, < 13.10.11, >= 14.4, < 14.4.7, >= 14.9, < 14.10 13.10.11, 14.4.7, 14.10
03.03.2023

XWiki-Platform vulnerable to stored Cross-site Scripting via the HTML displayer in Live Data

Hoch · 8.9 CVE-2023-26480 >= 12.10, < 13.10.10, >= 14.0, < 14.4.7, >= 14.5, < 14.9 13.10.10, 14.4.7, 14.9

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden