[TLP:CLEAR] XWiki Blog Application opravuje 1 zranitelnost

XWiki Blog Application verzí 9.15.7 opravuje vysoce závažnou zranitelnost [1][2]. Implementace opravy je k dispozici také v commitu cca87f0 [3].

XWiki Blog Application - XSS (CVE-2025-66024)
CVSS 8.6 (High)

Autentizovanému vzdálenému útočníkovi je manipulací s názvem příspěvku v Blogu umožněno vykonat útok XSS [1][2]. PoC je k dispozici na [2].

Zranitelnost se nachází v produktu:

  • XWiki Blog Application; <9.15.7;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

  • CVE-2025-66024 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 4. 3. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dne 5. 3. 2026.

CESNET, z.s.p.o. Logo