CVE-2025-66024
XWiki Blog Application página de inicio vulnerable a XSS almacenado a través del título de la publicación
- Publicado
- 4 mar 2026
- Actualizado
- 5 ago 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 30,2 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
La aplicación de blog XWiki permite a los usuarios de la plataforma XWiki crear y gestionar publicaciones de blog. Las versiones anteriores a la 9.15.7 son vulnerables a Cross-Site Scripting Almacenado (XSS) a través del Título de la Publicación del Blog. La vulnerabilidad surge porque el título de la publicación se inyecta directamente en la etiqueta HTML sin el escape adecuado. Un atacante con permisos para crear o editar publicaciones de blog puede inyectar JavaScript malicioso en el campo del título. Este script se ejecutará en el navegador de cualquier usuario (incluidos los administradores) que vea la publicación del blog. Esto lleva a un posible secuestro de sesión o escalada de privilegios. La vulnerabilidad ha sido parcheada en la versión 9.15.7 de la aplicación de blog añadiendo el escape faltante. No hay soluciones alternativas conocidas disponibles.
Fuentes
1Prueba de concepto para CVE-2025-66024: XSS almacenado en la aplicación de blog de XWiki mediante el título de la publicación sin escapar en la etiqueta de título HTML. Incluye pasos de reproducción, versiones afectadas y detalles del parche.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.