CVE-2024-52298
Təsvir
macro-pdfviewer, Mozilla pdf.js istifadə edən XWiki üçün PDF Viewer makrosudur. PDF Viewer makrosu, hücum edən şəxs son müəllifi həmin qoşmaya giriş imkanına malik olan səhifəni görə bildiyi təqdirdə, "Delegate my view right" funksiyasından istifadə edərək hər hansı bir qoşmanı görməyə imkan verir. Bunun üçün hücum edən şəxs makrosa sadəcə PDF faylının istinadını təqdim etməlidir. İstənilən qoşmanın istinadını əldə etmək üçün hücum edən şəxs Səhifə İndeksinin (Page Index) Qoşmalar (Attachments) bölməsinə daxil ola bilər. İstifadəyer interfeysində N/A göstərilsə belə, istifadəçi səhifəni araşdıraraq canlı məlumat girişlərini gətirən HTTP sorğusunu yoxlaya bilər. Qoşma URL-i, qorunanlar da daxil olmaqla bütün qoşmalar üçün qaytarılan JSON-da mövcuddur və lazımi dəyərlərin əldə edilməsinə imkan verir. Bu zəiflik 2.5.6 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- xwiki pdf_viewer_macro2.5.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xwiki pdf_viewer_macro | v < 2.5.6 | 2.5.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.