CVE-2023-48293

XWiki Admin Tools Application tətbiqi XWiki-nin idarə edilməsinə kömək edən alətlər təqdim edir. Versiya 4.5.1-dən əvvəl, XWiki tool-dakı sorğuda mövcud olan saytlararası sorğu saxtakarlığı (CSRF) zəifliyi, XWiki quraşdırılmasının verilənlər bazasında ixtiyari verilənlər bazası sorğularının icrasına imkan verir. Digər məsələlərlə yanaşı, bu, wikinin bütün məlumatlarının dəyişdirilməsinə və silinməsinə şərait yaradır. Bu həm wikiyə ziyan vurmaq, həm də hücumçu üçün yüksəldilmiş imtiyazlara malik hesab yaratmaq üçün istifadə edilə bilər ki, bu da bütün XWiki nümunəsinin konfidensiallığına, bütövlüyünə və əlçatanlığına təsir göstərir. Mümkün hücum vektoru vikidəki şərhlərdir; `[[image:path:/xwiki/bin/view/Admin/QueryOnXWiki?query=DELETE%20FROM%20xwikidoc]]` kimi wiki sintaksisi ilə şəkil yerləşdirildikdə, admin istifadəçisi bu şərhə baxdıqda bütün sənədlər verilənlər bazasından silinəcəkdir. Bu problem Admin Tools Application 4.5.1 versiyasında forma token yoxlamalarının əlavə edilməsi ilə aradan qaldırılmışdır. Bəzi müvəqqəti həll yolları mövcuddur. Yamaq həmçinin təsirlənmiş səhifələrə əllə tətbiq edilə bilər. Alternativ olaraq, əgər sorğu alətinə ehtiyac yoxdursa, `Admin.SQLToolsGroovy` sənədini silməklə bütün verilənlər bazası sorğu alətləri deaktiv edilə bilər.