CVE-2021-32732

### Etki Forgot username sayfasına sahte bir istek göndererek, bir e-posta adresiyle ilişkili olarak bir kullanıcının ilgili wikide hesabı olup olmadığını ve bu e-postaya hangi kullanıcı adlarının bağlı olduğunu tespit etmek mümkündür. Bu sayfanın bir CSRF kontrolüne sahip olmaması nedeniyle, bu tür çok sayıda isteğin gerçekleştirilmesinin oldukça kolay olduğu unutulmamalıdır. ### Yamalar Bu sorun XWiki 12.10.5 ve 13.2RC1 sürümlerinde yamalanmıştır. İki farklı yama sağlanmıştır: - Birincisi CSRF sorununu düzeltmek içindir. - İkincisi ise artık Forgot username işlemi için e-posta gönderimine dayanan daha karmaşık bir yamadır. ### Geçici Çözümler Sürüm yükseltmeden sorunu düzeltmek için 13.x altındaki sürümlerde ForgotUsername sayfası şu kod kullanılacak şekilde düzenlenebilir: https://github.com/xwiki/xwiki-platform/blob/69548c0320cbd772540cf4668743e69f879812cf/xwiki-platform-core/xwiki-platform-administration/xwiki-platform-administration-ui/src/main/resources/XWiki/ForgotUsername.xml#L39-L123 13.x sonrası sürümlerde forgotusername.vm dosyası manuel olarak düzenlemek de mümkündür ancak sürümün yükseltilmesi şiddetle önerilir. ### Referanslar * https://jira.xwiki.org/browse/XWIKI-18384 * https://jira.xwiki.org/browse/XWIKI-18408 ### Daha fazla bilgi için Bu bildirim hakkında herhangi bir sorunuz veya yorumunuz varsa: * [Jira XWiki](https://jira.xwiki.org) üzerinden bir sorun kaydı açın * [security ML](mailto:[email protected]) adresine e-posta gönderin