CVE-2026-120428
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 3.65.0 à 3.87.5 de PandaWiki sont affectées par une faille dans la manière dont le logiciel gère le téléchargement de fichiers. L'application permet aux utilisateurs de télécharger des fichiers HTML masqués par des extensions d'image via le point de terminaison classique de téléchargement de fichiers. En raison d'un contournement dans la configuration nginx, ces fichiers peuvent être servis comme des pages web actives plutôt que comme des pièces jointes téléchargeables.
Un attaquant non authentifié peut utiliser cette vulnérabilité pour voler le jeton de session d'un administrateur via une attaque par script intersite (XSS) stocké. Cela nécessite que l'attaquant incite un administrateur connecté à visiter un lien malveillant spécifique. En cas de succès, l'attaquant obtient les privilèges de l'administrateur, compromettant ainsi l'intégrité et la confidentialité des données du wiki.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PandaWiki 3.65.0 through 3.87.5 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to upload HTML files with image extensions via /share/v1/common/file/upload. Attackers can lure administrators to /static-file/<key>?a=.pdf, bypassing the nginx attachment header to serve HTML inline and steal the panda_wiki_token JWT for session takeover.