CVE-2021-21379
Açıklama
XWiki Platform, üzerinde oluşturulan uygulamalar için çalışma zamanı hizmetleri sunan genel bir wiki platformudur. XWiki Platform'un etkilenen sürümlerinde, `{{wikimacrocontent}}` içeriği, ilgili wiki makrosunu çağıran kişi yerine wiki makrosunun yazarının haklarıyla yürütür. Bu durum, üzerinden betikler enjekte edilmesini mümkün kılar ve bu betikler wiki makrosunun haklarıyla (genellikle Programlama haklarına sahip bir kullanıcı) çalıştırılır. Neyse ki, XWiki Standard içerisinde varsayılan olarak böyle bir makro bulunmamaktadır ancak bir tane oluşturulmuş veya bir eklenti ile yüklenmiş olabilir. Bu güvenlik açığı XWiki 12.6.3, 11.10.11 ve 12.8-rc-1 sürümlerinde giderilmiştir. Etkilenen makroları devre dışı bırakmak dışında kolay bir geçici çözüm yoktur. İçeriğin güvenli bir şekilde eklenmesi veya wiki makrosunu çağıran kullanıcının kim olduğunun belirlenmesi kolay değildir.
Nasıl düzeltilir
- xwiki xwiki11.10.11, 12.6.3 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-rendering-wikimacro-store11.10.11, 12.6.3, 12.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 11.4 ≤ v < 11.10.11, 12.0 ≤ v < 12.6.3, 12.7 ≤ v ≤ 12.7.1 | 11.10.11, 12.6.3 |
| org.xwiki.platform:xwiki-platform-rendering-wikimacro-storeMaven | 11.4 ≤ v < 11.10.11, 12.0 ≤ v < 12.6.3, 12.7 ≤ v < 12.8 | 11.10.11, 12.6.3, 12.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.