Wysoka

org.xwiki.platform:xwiki-platform-livedata-macro vulnerable to Basic Cross-site Scripting

Ujawniono: 12.04.2023
Aktualizacja: 11.10.2026 12:21

Impact

A user without script rights can introduce a stored XSS by using the Live Data macro, if the last author of the content of the page has script rights.

For instance, by adding the LiveData below in the about section of the profile of a user created by an admin.

{{liveData id="movies" properties="title,description"}}
{
  "data": {
    "count": 1,
    "entries": [
      {
        "title": "Meet John Doe",
        "url": "https://www.imdb.com/title/tt0033891/",
        "description": "<img onerror='alert(1)' src='foo' />"
      }
    ]
  },
  "meta": {
    "propertyDescriptors": [
      {
        "id": "title",
        "name": "Title",
        "visible": true,
        "displayer": {"id": "link", "propertyHref": "url"}
      },
      {
        "id": "description",
        "name": "Description",
        "visible": true,
        "displayer": "html"
      }
    ]
  }
}
{{/liveData}}

Patches

This has been patched in XWiki 14.10, 14.4.7, and 13.10.11.

Workarounds

No known workaround.

References

https://jira.xwiki.org/browse/XWIKI-20312

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira
Email us at Security ML

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-livedata-macro	>= 13.10.10, < 13.10.11, >= 14.4, < 14.4.7, >= 14.9, < 14.10	13.10.11, 14.4.7, 14.10

Odnośniki

Ocena CVSS 8.9/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
Słabość (CWE): CWE-79, CWE-80
Platforma: Java / Kotlin (Maven)
Paczka: org.xwiki.platform:xwiki-platform-livedata-macro
Ujawniono: 12.04.2023
Aktualizacja: 11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-hmm7-6ph9-8jf2 - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-livedata-macro

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 03.2023 04.2023
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 2

Ujawnienia w latach

2023: 2
2024: 0
2025: 0
2026: 0

12.04.2023

org.xwiki.platform:xwiki-platform-livedata-macro vulnerable to Basic Cross-site Scripting ten wpis

Wysoka · 8.9 CVE-2023-29508 >= 13.10.10, < 13.10.11, >= 14.4, < 14.4.7, >= 14.9, < 14.10 13.10.11, 14.4.7, 14.10
03.03.2023

XWiki-Platform vulnerable to stored Cross-site Scripting via the HTML displayer in Live Data

Wysoka · 8.9 CVE-2023-26480 >= 12.10, < 13.10.10, >= 14.0, < 14.4.7, >= 14.5, < 14.9 13.10.10, 14.4.7, 14.9

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację