Alta

XWiki-Platform vulnerable to stored Cross-site Scripting via the HTML displayer in Live Data

Publicada: 03.03.2023
Actualizado: 11.10.2026 13:19

Impact

A user without script rights can introduce a stored XSS by using the Live Data macro.

For instance:

{{liveData id="movies" properties="title,description"}}
{
  "data": {
    "count": 1,
    "entries": [
      {
        "title": "Meet John Doe",
        "url": "https://www.imdb.com/title/tt0033891/",
        "description": "<img onerror='alert(1)' src='foo' />"
      }
    ]
  },
  "meta": {
    "propertyDescriptors": [
      {
        "id": "title",
        "name": "Title",
        "visible": true,
        "displayer": {"id": "link", "propertyHref": "url"}
      },
      {
        "id": "description",
        "name": "Description",
        "visible": true,
        "displayer": "html"
      }
    ]
  }
}
{{/liveData}}

Patches

This has been patched in XWiki 14.9, 14.4.7, and 13.10.10.

Workarounds

No known workaround.

References

https://jira.xwiki.org/browse/XWIKI-20143

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira
Email us at Security ML

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-livedata-macro	>= 12.10, < 13.10.10, >= 14.0, < 14.4.7, >= 14.5, < 14.9	13.10.10, 14.4.7, 14.9

Referencias

Puntuación CVSS 8.9/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
Debilidad (CWE): CWE-79
Plataforma: Java / Kotlin (Maven)
Paquete: org.xwiki.platform:xwiki-platform-livedata-macro
Publicada: 03.03.2023
Actualizado: 11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-32fq-m2q5-h83g - CC BY 4.0

Historial de vulnerabilidades: org.xwiki.platform:xwiki-platform-livedata-macro

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 03.2023 04.2023
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 2

Divulgaciones por año

2023: 2
2024: 0
2025: 0
2026: 0

12.04.2023

org.xwiki.platform:xwiki-platform-livedata-macro vulnerable to Basic Cross-site Scripting

Alta · 8.9 CVE-2023-29508 >= 13.10.10, < 13.10.11, >= 14.4, < 14.4.7, >= 14.9, < 14.10 13.10.11, 14.4.7, 14.10
03.03.2023

XWiki-Platform vulnerable to stored Cross-site Scripting via the HTML displayer in Live Data esta entrada

Alta · 8.9 CVE-2023-26480 >= 12.10, < 13.10.10, >= 14.0, < 14.4.7, >= 14.5, < 14.9 13.10.10, 14.4.7, 14.9

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación