CVE-2023-40176
Təsvir
XWiki Platform, üzərində qurulmuş tətbiqlər üçün işləmə vaxtı xidmətləri təqdim edən ümumi wiki platformasıdır. İstənilən qeydiyyatdan keçmiş istifadəçi öz istifadəçi profili vasitəsilə yükləmə zəncirini saat qurşağı istifadəçi seçiminin dəyəri kimi təyin edərək saxlanılan XSS-dən istifadə edə bilər. Saat qurşağı açılan siyahıdan seçilsə də (sərbəst mətn dəyəri yoxdur), o, yenə də JavaScript vasitəsilə (brauzerin developer alətlərindən istifadə etməklə) və ya düzgün sorğu sətri ilə istifadəçi profilində saxlama URL-inə müraciət etməklə təyin edilə bilər. Saat qurşağı təyin edildikdən sonra ekranlaşdırma olmadan göstərilir, bu da yükləmə zəncirinin zərərli istifadəçi profilini ziyarət edən hər hansı istifadəçi üçün icra olunması deməkdir və hücumçuya məlumat oğurlamağa və hətta daha çox giriş hüququ əldə etməyə (proqramlaşdırma hüquqlarına yüksəldilmə) imkan verir. Bu problem saat qurşağı istifadəçi seçiminin təqdim edildiyi 4.1M2 versiyasından bəri mövcuddur. Problem XWiki 14.10.5 və 15.1RC1-də düzəldilmişdir.
Necə düzəltmək olar
- xwiki xwiki14.10.5 və ya daha yeni versiya
- org.xwiki.platform:xwiki-platform-web-templates14.10.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xwiki xwiki | 4.1.1 ≤ v < 14.10.5, 4.1, 15.0 | 14.10.5 |
| org.xwiki.platform:xwiki-platform-web-templatesMaven | 4.1-milestone-2 ≤ v < 14.10.5 | 14.10.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.