CVE-2024-31996
Təsvir
XWiki Platform universal wiki platformasıdır. 3.0.1 versiyasından başlayaraq 4.10.19, 15.5.4 və 15.10-rc-1 versiyalarına qədər XWiki-də istifadə olunan escaping alətinin HTML escaping funksiyası `{` simvolunu escape etmir ki, bu da müəyyən yerlərdə istifadə edildikdə XWiki sintaksis inyeksiyasına və bununla da uzaqdan kodun icrasına imkan verir. Zəiflik XWiki 14.10.19, 15.5.5 və 15.9 RC1 versiyalarında düzəldilmişdir. Yeniləmə ilə yanaşı, universal iş ətrafı yolu yoxdur. Bununla belə, XWiki sənədlərində `$escapetool.html` ifadəsini `$escapetool.xml` ilə əvəz etmək zəifliyi aradan qaldırır. Standart XWiki quraşdırmasında tərtibatçılar bu zəifliyi aşkar edən yalnız `Panels.PanelLayoutUpdate` sənədindən xəbərdardırlar, buna görə də bu sənədin yamaqlanması iş ətrafı yoludur. İstənilən genişləndirmə bu zəifliyi aşkar edə bilər və buna görə də yamaqlanma tələb edə bilər.
Necə düzəltmək olar
- xwiki xwiki14.10.19, 15.5.4, 15.9 və ya daha yeni versiya
- org.xwiki.commons:xwiki-commons-velocity14.10.19, 15.5.4, 15.9-rc-1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xwiki xwiki | 3.0.1 ≤ v < 14.10.19, 15.0 ≤ v < 15.5.4, 15.6 ≤ v < 15.9 | 14.10.19, 15.5.4, 15.9 |
| org.xwiki.commons:xwiki-commons-velocityMaven | 3.0.1 ≤ v < 14.10.19, 15.0-rc-1 ≤ v < 15.5.4, 15.6-rc-1 ≤ v < 15.9-rc-1 | 14.10.19, 15.5.4, 15.9-rc-1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.