xpWiki の特定環境下で XSS(クロスサイトスクリプティング)脆弱性が見つかりました。

この脆弱性は、ある特定の環境で運用している場合が対象となります。

1. xpWiki のバージョンが 4.02.17 以上 4.02.22 以下である。
2. xpWiki のレンダラーモードを利用していて、その xpWiki のデフォルト編集権限が管理者以外編集できない設定になっている。
3. xpWiki レンダラーモードを利用しているモジュールにおいて、管理者以外も投稿可能である。

この三つの条件をすべて満たす場合にXSS攻撃の対象になります。攻撃の難易度は易しいので、方法さえ分かれば簡単に任意のHTMLを仕込むことが可能になりますので、この条件で運用している場合は、一刻も早く Ver 4.02.23 以降にバージョンアップするか、上にあげた条件を少なくとも一つ外すようにしてください。

ご迷惑及びお手数をお掛けしますが、よろしくお願い致します。

- xpWiki ダウンロード