MDwiki Cross-Site Scripting via Location Hash Parameter

A vulnerabilidade CVE-2017-20239 afeta o MDwiki, expondo os usuários a um risco de Cross-Site Scripting (XSS). Isso permite que atacantes remotos executem código JavaScript malicioso no navegador da vítima. O problema reside na forma como o MDwiki lida com o parâmetro 'location hash'. Os atacantes podem criar URLs especialmente projetadas com código JavaScript inserido no fragmento de hash (#) da URL. O MDwiki, sem uma validação ou sanitização adequada, interpreta e executa este código, comprometendo a segurança do usuário. Isso pode resultar no roubo de cookies, redirecionamento para sites maliciosos ou modificação do conteúdo da página web, afetando a integridade e a confidencialidade das informações do usuário. A ausência de uma correção (fix) conhecida agrava a situação, exigindo uma avaliação cuidadosa e medidas preventivas.

Organizations using MDwiki for internal documentation, knowledge bases, or other web-based content are at risk. Specifically, environments where MDwiki is accessible from external networks or where user input is not properly sanitized are particularly vulnerable. Shared hosting environments where multiple users share the same MDwiki instance also increase the risk of exploitation.

• javascript / generic web:

// Check for unusual JavaScript code in the URL hash
const hash = window.location.hash;
if (hash.includes("<script>alert(\");")) {
  console.warn("Potential XSS vulnerability detected in URL hash");
}

• generic web:

# Check access logs for URLs containing suspicious JavaScript in the hash
grep -i 'location.hash=[^#]*<script>' access.log

1. Reservado2026-04-12
2. Publicada2026-04-12
3. Modificada2026-04-13
4. EPSS atualizado2026-04-20

Como não existe uma correção oficial (fix) para CVE-2017-20239 no MDwiki, a mitigação se concentra em medidas preventivas e de redução de riscos. Recomenda-se fortemente evitar o uso de MDwiki até que uma solução seja implementada. Se o uso for indispensável, sugere-se implementar uma política de segurança web rigorosa, incluindo a validação e sanitização de todas as entradas de usuário, especialmente aquelas relacionadas à URL. Além disso, os usuários devem ser educados sobre os riscos de clicar em links suspeitos ou URLs com fragmentos de hash incomuns. O uso de uma Política de Segurança de Conteúdo (CSP) pode ajudar a restringir as fontes de JavaScript que podem ser executadas, mitigando o impacto de um ataque XSS. Monitorar o tráfego de rede em busca de padrões suspeitos também pode ajudar a detectar e responder a possíveis ataques.