org.xwiki.contrib.markdown:syntax-markdown-commonmark12 存在 XSS 漏洞，可通过 Markdown 内容利用

该 XSS 漏洞允许攻击者在受影响的 XWiki 实例中注入和执行任意 JavaScript 代码。攻击者可以利用此漏洞窃取用户凭据、重定向用户到恶意网站、篡改页面内容，甚至完全控制受影响的 XWiki 实例。如果攻击者拥有管理员或编程权限，则漏洞的影响范围将进一步扩大，可能导致整个 XWiki 安装的全面破坏。攻击者可以通过在 Markdown 内容中嵌入恶意 JavaScript 代码来触发此漏洞，这些代码会在其他用户浏览包含这些内容的页面时执行。

Organizations using XWiki with the CommonMark Markdown Syntax 1.2 extension installed are at risk. This includes those relying on XWiki for collaborative documentation, knowledge management, or content creation. Specifically, XWiki instances with limited input validation or those lacking robust WAF protection are particularly vulnerable.

• java / server: Monitor XWiki application logs for unusual JavaScript execution patterns or errors related to Markdown parsing. Use Java profilers to identify suspicious code execution within the org.xwiki.contrib.markdown package. • generic web: Use curl/wget to test for the presence of the vulnerable Markdown syntax extension. Check response headers for unexpected JavaScript code. • wordpress / composer / npm: N/A - This vulnerability is specific to the XWiki platform. • database (mysql, redis, mongodb, postgresql): N/A - This vulnerability does not directly impact databases.

1. 2025-04-30Disclosure

   disclosure

1. 已保留2025-04-24
2. 发布日期2025-04-30
3. 修改日期2025-05-01
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级到 XWiki 8.9 或更高版本，该版本已修复此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制用户对 Markdown 编辑器的访问权限，只允许信任用户使用；实施严格的内容审核策略，过滤潜在的恶意 Markdown 内容；使用 Web 应用防火墙 (WAF) 来检测和阻止包含恶意 JavaScript 代码的请求。升级后，请验证新版本是否已成功部署，并确认 XSS 漏洞已得到修复。