CVE-2021-32732

### Təsir "Forgot username" səhifəsinə saxta sorğu göndərməklə, istifadəçinin e-poçt ünvanı ilə əlaqəli olaraq wikidə hesabı olub-olmadığını və həmin e-poçta hansı istifadəçi adının (adlarının) bağlı olduğunu müəyyən etmək mümkündür. Qeyd edək ki, bu səhifədə CSRF yoxlaması olmadığı üçün belə sorğuların çox sayda göndərilməsi kifayət qədər asandır. ### Yamaqlar Bu problem XWiki 12.10.5 və 13.2RC1 versiyalarında aradan qaldırılıb. İki fərqli yamaq təqdim olunur: - Birincisi, CSRF problemini düzəltmək üçündür. - İkincisi isə daha mürəkkəbdir və artıq "Forgot username" prosesi üçün e-poçtun göndərilməsinə əsaslanır. ### Alternativ həllər Versiyanı yeniləmədən problemi düzəltmək üçün 13.x-dən aşağı versiyalarda ForgotUsername səhifəsini redaktə edərək aşağıdakı kodu istifadə etmək mümkündür: https://github.com/xwiki/xwiki-platform/blob/69548c0320cbd772540cf4668743e69f879812cf/xwiki-platform-core/xwiki-platform-administration/xwiki-platform-administration-ui/src/main/resources/XWiki/ForgotUsername.xml#L39-L123 13.x-dən sonrakı versiyalarda forgotusername.vm faylını əllə redaktə etmək də mümkündür, lakin burada versiyanın yenilənməsi şiddətlə tövsiyə olunur. ### İstinadlar * https://jira.xwiki.org/browse/XWIKI-18384 * https://jira.xwiki.org/browse/XWIKI-18408 ### Əlavə məlumat Əgər bu bildirişlə bağlı hər hansı sualınız və ya şərhniz varsa: * [Jira XWiki](https://jira.xwiki.org)-də problem açın * Bizə [security ML](mailto:[email protected]) vasitəsilə e-poçt göndərin