CVE-2023-22457
Açıklama
CKEditor Integration UI, CKEditor kullanarak wiki sayfalarının düzenlenmesi için destek ekler. Versiyon 1.64.3 öncesinde, `CKEditor.HTMLConverter` belgesi Siteler Arası İstek Sahteciliği'ne (CSRF) karşı korumadan yoksundu ve bu durum makroların mevcut kullanıcının haklarıyla çalıştırılmasına izin veriyordu. Programlama yetkilerine sahip ayrıcalıklı bir kullanıcı, belirli parametrelerle bu belgeye bir GET isteği göndermeye ikna edilirse (örneğin, bir yorum içine gömülmüş ilgili URL'ye sahip bir resim veya bir yönlendirme aracılığıyla), bu durum keyfi uzaktan kod çalıştırmaya olanak tanır ve saldırgan haklar kazanabilir, özel bilgilere erişebilir veya wikinin kullanılabilirliğini etkileyebilir. Sorun, CKEditor Integration versiyon 1.64.3 ile düzeltilmiştir. Bu sorun ayrıca XWiki 14.6 RC1 ile birlikte gelen CKEditor entegrasyon versiyonunda da düzeltilmiştir. CKEditor entegrasyonunu düzeltilmiş bir versiyona yükseltmek dışında bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- xwiki ckeditor_integration1.64.3 ya da sonraki bir sürüm
- org.xwiki.contrib:application-ckeditor-ui1.64.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki ckeditor_integration | v < 1.64.3 | 1.64.3 |
| org.xwiki.contrib:application-ckeditor-uiMaven | v < 1.64.3 | 1.64.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.