Scott Bassett

Um problema de injeção de XML, também conhecido como blind XPath injection, existe na extensão Mediawiki - EasyTimeline. Isso permite que um invasor injete XML, que pode ser usado para manipular consultas XPath para extrair informações da estrutura do documento XML sem que a aplicação retorne os resultados diretamente na resposta.

O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting. Isso afeta o Apache Archiva, um produto que não conta mais com suporte do seu mantenedor. Consequentemente, não há planos para uma correção desse problema. Recomenda-se aos usuários que busquem uma alternativa ou restrinjam o acesso à instância a usuários confiáveis. Uma medida de mitigação adicional é configurar um proxy HTTP na frente da instância do Archiva para filtrar solicitações com caracteres maliciosos na URL.