CVE-2023-34408
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
DokuWiki przed wersją 2023-04-04a umożliwia atak XSS poprzez tytuły RSS.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzykiwania złośliwego kodu JavaScript, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację DokuWiki do wersji 2023-04-04a lub nowszej, aby usunąć tę podatność.
Inne podatności w DokuWiki
Zobacz wszystkie- CVE-2026-113356Wysokie
DokuWiki przed wersją 2026-07-14c zawiera podatność wstrzyknięcia obiektu PHP w Draft::getDraftText(), gdzie zawartość pliku szkicu jest przekazywana do unserialize() bez ograniczenia dozwolonych klas. Uwierzytelnieni użytkownicy z prawami edycji mogą wykorzystać wyścig przy równoczesnym zapisie szkiców, aby wstrzyknąć dane serializowane i utworzyć obiekty takie jak MemoryIndex lub Installer.
- CVE-2026-37106Krytyczne
W DokuWiki 2025-05-14b 'Librarian' 56.2 istnieje możliwość zdalnego tworzenia kont przez funkcję rejestracji w inc/auth.php. Producent kwestionuje to jako podatność, wskazując, że jest to zamierzone działanie przy włączonej samorejestracji (opcja nie domyślna) i nie ma scenariusza, w którym zostałaby włączona bez wiedzy administratora.
- CVE-2026-26477Średnie
Dokuwiki w wersji 2025-05-14b zawiera podatność na atak DoS poprzez funkcję media_upload_xhr() w pliku media.php. Zdalny atakujący może spowodować odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
DokuWiki before 2023-04-04a allows XSS via RSS titles.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS