FICHE CVE

CVE-2023-35158

Publiée le 2023-06-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de XWiki antérieures aux versions 14.10.5 et 15.1-rc-1 sont vulnérables à une attaque par cross-site scripting (XSS). Un attaquant distant non authentifié peut exécuter du code JavaScript arbitraire dans le navigateur d'une victime en l'incitant à cliquer sur un lien spécialement conçu. En cas de réussite, l'attaquant peut détourner des sessions utilisateur ou effectuer des actions au nom de la victime avec un contrôle administratif complet sur la session concernée.

CVSS 3.19.6 CRITIQUE

Type de faiblesse

CWE-87

Publiée2023-06-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page (XSS). It's possible to exploit the restore template to perform a XSS, e.g. by using URL such as: > /xwiki/bin/view/XWiki/Main?xpage=restore&showBatch=true&xredirect=javascript:alert(document.domain). This vulnerability exists since XWiki 9.4-rc-1. The vulnerability has been patched in XWiki 14.10.5 and 15.1-rc-1.