Приложение Mocca Calendar до версии 2.15 для XWiki позволяет XSS через заголовок при импорте календаря [1]. ### Подробности Заголовок не бы…

Приложение Mocca Calendar до версии 2.15 для XWiki позволяет XSS через заголовок при импорте календаря [1]. ### Подробности Заголовок не был должным образом экранирован при импорте календаря, что позволяет XSS для любого пользователя с правами просмотра страницы. ### Доказательство концепции (PoC) Импортируйте календарь с событием, имеющим заголовок `<script>alert("hi!")</script>`. ### Рекомендации Перед открытием страницы события проверьте его заголовок в дереве навигации или в представлении дня внутри календаря. Источники: - [1] https://github.com/xwikisas/application-mocca-calendar/security/advisories/GHSA-mc3x-h7p6-334p