CVE-2023-40177
Təsvir
XWiki Platform, üzərində qurulmuş tətbiqlər üçün runtime xidmətləri təklif edən ümumi bir wiki platformasıdır. Hər hansı qeydiyyatdan keçmiş istifadəçi öz istifadəçi profil səhifəsinin məzmun sahəsindən (content field) istifadə edərək proqramlaşdırma hüquqları ilə ixtiyari skriptləri icra edə bilər və beləliklə, effektiv şəkildə imtiyazların yüksəldilməsini həyata keçirə bilər. Bu problem, AppWithinMinutes tətbiqi Content sahəsi üçün dəstək əlavə etdikdən sonra versiya 4.3M2-dən bəri mövcuddur; bu, hər hansı wiki səhifəsinə (istifadəçi profil səhifəsi daxil olmaqla) öz məzmunundan AWM Content sahəsi kimi istifadə etməyə imkan verir ki, bu da məzmunu məzmun müəllifinin hüquqları ilə deyil, ``AppWithinMinutes.Content`` müəllifinin hüquqları ilə icra edən xüsusi bir göstəriciyə (displayer) malikdir. Zəiflik XWiki 14.10.5 və 15.1RC1 versiyalarında aradan qaldırılıb. Düzəliş, xüsusi göstəricini təyin edən AppWithinMinutes.Content səhifəsinin məzmununda aparılıb. Məzmunu render etmək üçün ``display`` skript xidmətindən istifadə etməklə biz giriş hüquqlarının yoxlanılması üçün düzgün müəllifin istifadə edildiyindən əmin oluruq.
Necə düzəltmək olar
- xwiki xwiki14.10.5 və ya daha yeni versiya
- org.xwiki.platform:xwiki-platform-appwithinminutes-ui14.10.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xwiki xwiki | 4.3.1 ≤ v < 14.10.5, 4.3, 15.0 | 14.10.5 |
| org.xwiki.platform:xwiki-platform-appwithinminutes-uiMaven | 4.3-milestone-2 ≤ v < 14.10.5 | 14.10.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.