CVE:CVE-2021-25993
CNNVD:CNNVD-202112-2769
Wiki.js是Requarks.io团队的一套基于Node.js并使用JavaScript语言编写的开源Wiki软件。
Wiki.js 2.0.0 beta.147 到 2.5.255版本存在跨站脚本漏洞，该漏洞源于软件中wiki.js缺少对于用户参数的有效过滤和转义，低权限用户在上传页面资产时可以上传包含恶意JavaScript的SVG文件。这将向服务器发送JWT令牌，并在受害者访问时导致帐户接管。
solution:Upgrade requarks wiki.js to a higher version than 2.5.255,2.0.0:beta147,2.0.0:beta148,2.0.0:beta174,2.0.0:beta180,2.0.0:beta203,2.0.0:beta208,2.0.0:beta230,2.0.0:beta241,2.0.0:beta267,2.0.0:beta268,2.0.0:beta275,2.0.0:beta303,2.0.0:rc1,2.0.0:rc17,and avoid the version [2.0.1,2.5.255],2.0.0:beta147,2.0.0:beta148,2.0.0:beta174,2.0.0:beta180,2.0.0:beta203,2.0.0:beta208,2.0.0:beta230,2.0.0:beta241,2.0.0:beta267,2.0.0:beta268,2.0.0:beta275,2.0.0:beta303,2.0.0:rc1,2.0.0:rc17