CVE-2024-52300 — 神龙十问 AI 深度分析摘要

🚨 **本质**：PDF Viewer Macro 的 `width` 参数未正确转义。 💥 **后果**：导致 **XSS（跨站脚本攻击）**，恶意脚本可在受害者浏览器执行。

🔍 **CWE**：CWE-80 (跨站脚本)。 📍 **缺陷点**：输入验证缺失，`width` 参数直接渲染，未过滤恶意代码。

📦 **组件**：XWiki SAS 的 **macro-pdfviewer**。 📉 **版本**：**2.5.6 之前**的所有版本均受影响。

🕵️ **权限**：仅需 **编辑页面** 权限（PR:L）。 📊 **数据**：可窃取 Cookie、会话令牌，或劫持用户操作（C:H, I:H）。

🚪 **门槛**：中等。 ✅ **条件**：攻击者需拥有 **编辑权限**，且受害者需 **点击/查看** 页面（UI:R）。

🧪 **Exp**：数据中 **无** 公开 PoC 或确认的在野利用。 🔒 **状态**：目前仅知理论漏洞，暂无现成脚本流传。

🔎 **自查**：检查 XWiki 实例是否安装了 **macro-pdfviewer**。 📋 **版本**：确认版本是否 **< 2.5.6**。

🛡️ **修复**：官方已发布安全公告 (GHSA-84wx-6vfp-5m6g)。 🔄 **动作**：升级至 **2.5.6 或更高版本** 即可修复。

⚠️ **规避**：若无法升级，限制 **页面编辑权限**。 🚫 **策略**：禁止普通用户编辑包含 PDF 宏的页面，或禁用该宏。

🔥 **优先级**：**高**。 📈 **理由**：CVSS 评分高 (H)，利用条件低（只需编辑权），且 XSS 危害大。建议 **立即升级**。