CVE-2022-39387
Təsvir
XWiki OIDC, XWiki-də OpenID Connect protokolunu manipulyasiya etmək üçün müxtəlif alətlərə malikdir. 1.29.1 versiyasından əvvəl, hətta bir vikidə xwiki.properties vasitəsilə OpenID provayderi konfiqurasiya edilmiş olsa belə, sorğu parametrləri vasitəsilə üçüncü tərəf provayderinin məlumatlarını təqdim etmək mümkün idi. Bundan sonra oidc.endpoint.* sorğu parametrləri vasitəsilə öz provayderini göstərməklə (və ya oidc.xwikiprovider ilə XWiki əsaslı OpenID provayderindən istifadə etməklə) XWiki autentifikasiyasından tamamilə yan keçmək olar. Eyni yanaşma ilə oidc.groups.mapping vasitəsilə xüsusi qrup mapinqi təqdim etmək də mümkün idi ki, bu da istifadəçinin avtomatik olaraq XWikiAdminGroup-un üzvü olmasına səbəb olardı. Bu problem aradan qaldırılıb, zəhmət olmasa 1.29.1 versiyasına yüksəldin. Heç bir əvəzedici həll yoxdur, autentifikatorun yüksəldilməsi tələb olunur.
Necə düzəltmək olar
- xwiki openid_connect1.29.1 və ya daha yeni versiya
- org.xwiki.contrib.oidc:oidc-authenticator1.29.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xwiki openid_connect | v < 1.29.1 | 1.29.1 |
| org.xwiki.contrib.oidc:oidc-authenticatorMaven | v < 1.29.1 | 1.29.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.