CVE-2026-120500
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions d'Otter Wiki antérieures à la 2.26.2 sont affectées par une faille dans la manière dont le logiciel restitue les blocs de code mathématique. Ce logiciel est utilisé pour créer et gérer des wikis. La vulnérabilité provient du fait que le moteur de rendu ne parvient pas à échapper les caractères HTML au sein de ces blocs, ce qui permet l'injection de scripts malveillants directement sur une page.
Un attaquant peut utiliser cette faille pour exécuter du JavaScript arbitraire dans le navigateur de toute personne consultant la page contaminée, permettant potentiellement le vol de cookies de session ou la redirection d'utilisateurs. Comme la configuration par défaut autorise l'édition anonyme, aucune authentification n'est requise pour implanter le script. Cependant, l'exploitation nécessite qu'une victime se rende sur la page concernée pour que l'attaque se déclenche.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An Otter Wiki before 2.26.2 contains a stored cross-site scripting vulnerability in OtterwikiMdRenderer.block_code that allows attackers who can edit pages, including anonymous users under the default configuration, to inject arbitrary script. Attackers can place HTML inside a math fenced code block, which is rendered unescaped and executes for every viewer of the page.