CVE-2023-29207
Açıklama
XWiki Commons, birkaç diğer üst düzey XWiki projesi için ortak olan teknik kütüphanelerdir. Livetable Macro sütun adlarını düzgün şekilde sanitize etmiyordu, bu da JavaScript dahil olmak üzere ham HTML kodlarının eklenmesine izin veriyordu. Bu zafiyet, XWiki 3.5M1 sürümünden beri yer alan ve betik hakları gerektirmeyen Documents Macro üzerinden de istismar edilebiliyordu; bu durum `{{documents id="example" count="5" actions="false" columns="doc.title, before<script>alert(1)</script>after"/}}` sözdizimi ile gösterilebilir. Bu nedenle, zafiyet betik hakkı olmayan kullanıcılar tarafından ve yorumlarda da istismar edilebilir. Daha fazla yetkiye sahip bir kullanıcının etkileşimiyle bu durum; yetki yükseltme, uzaktan kod çalıştırma, bilgi ifşası, içeriğin değiştirilmesi veya silinmesi dahil olmak üzere wiki üzerinde rastgele işlemler yürütmek için kullanılabilir. Bu sorun XWiki 14.9, 14.4.6 ve 13.10.10 sürümlerinde yamalanmıştır.
Nasıl düzeltilir
- xwiki xwiki13.10.10, 14.4.6, 14.9 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-flamingo-skin-resources13.10.10, 14.4.6, 14.9 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-flamingo-skin13.10.10, 14.4.6, 14.9 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-flamingo13.10.10, 14.4.6, 14.9 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-web-templates13.10.10, 14.4.6, 14.9 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-web13.10.10, 14.4.6, 14.9 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-web-standard13.10.10, 14.4.6, 14.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 1.9 ≤ v < 13.10.10, 14.0 ≤ v < 14.4.6, 14.5 ≤ v < 14.9, 1.9 | 13.10.10, 14.4.6, 14.9 |
| org.xwiki.platform:xwiki-platform-flamingo-skin-resourcesMaven | 1.9-milestone-2 ≤ v < 13.10.10, 14.0-rc-1 ≤ v < 14.4.6, 14.5 ≤ v < 14.9 | 13.10.10, 14.4.6, 14.9 |
| org.xwiki.platform:xwiki-platform-flamingo-skinMaven | 1.9-milestone-2 ≤ v < 13.10.10, 14.0-rc-1 ≤ v < 14.4.6, 14.5 ≤ v < 14.9 | 13.10.10, 14.4.6, 14.9 |
| org.xwiki.platform:xwiki-platform-flamingoMaven | 1.9-milestone-2 ≤ v < 13.10.10, 14.0-rc-1 ≤ v < 14.4.6, 14.5 ≤ v < 14.9 | 13.10.10, 14.4.6, 14.9 |
| org.xwiki.platform:xwiki-platform-web-templatesMaven | 1.9-milestone-2 ≤ v < 13.10.10, 14.0-rc-1 ≤ v < 14.4.6, 14.5 ≤ v < 14.9 | 13.10.10, 14.4.6, 14.9 |
| org.xwiki.platform:xwiki-platform-webMaven | 1.9-milestone-2 ≤ v < 13.10.10, 14.0-rc-1 ≤ v < 14.4.6, 14.5 ≤ v < 14.9 | 13.10.10, 14.4.6, 14.9 |
| org.xwiki.platform:xwiki-web-standardMaven | 1.9-milestone-2 ≤ v < 13.10.10, 14.0-rc-1 ≤ v < 14.4.6, 14.5 ≤ v < 14.9 | 13.10.10, 14.4.6, 14.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.