CVE-2024-37899

XWiki Platform, üzərində qurulmuş tətbiqlər üçün işləmə vaxtı xidmətləri təqdim edən ümumi wiki platformasıdır. Administrator istifadəçi hesabını deaktiv etdikdə, istifadəçinin profili administratorun hüquqları ilə icra olunur. Bu, istifadəçiyə administratorun hesabı deaktiv etməsindən əvvəl istifadəçi profilində zərərli kod yerləşdirməyə imkan verir. Problemi təkrar yaratmaq üçün skript və proqramlaşdırma hüquqları olmayan istifadəçi kimi istifadəçi profilinizin "about" bölməsini redaktə edin və `{{groovy}}services.logging.getLogger("attacker").error("Hello from Groovy!"){{/groovy}}` əlavə edin. Administrator kimi istifadəçi profilinə keçin və "Disable this account" düyməsini basın. Sonra səhifəni yenidən yükləyin. Əgər jurnallarda `attacker - Hello from Groovy!` göstərilirsə, o zaman instans zəifdir. Bu problem XWiki 14.10.21, 15.5.5, 15.10.6 və 16.0.0 versiyalarında düzəldilmişdir. İstifadəçilərə yeniləmə tövsiyə olunur. Bu zəiflik üçün məlum iş ətrafı həlli yoxdur. ### İş ətrafı həllər Yeniləmədən başqa heç bir iş ətrafı həllindən xəbərdar deyilik. ### İstinadlar * https://jira.xwiki.org/browse/XWIKI-21611 * https://github.com/xwiki/xwiki-platform/commit/f89c8f47fad6e5cc7e68c69a7e0acde07f5eed5a