CVE-2023-29528
Açıklama
XWiki Commons, diğer birçok üst düzey XWiki projesi için ortak olan teknik kütüphanelerdir. XWiki'deki HTML temizleyicinin, sürüm 4.2-milestone-1 ile tanıtılan ve sürüm 14.6-rc-1 ile büyük ölçüde geliştirilen "restricted" modu, geçersiz HTML yorumları aracılığıyla rastgele HTML kodu enjeksiyonuna ve dolayısıyla siteler arası betik çalıştırmaya (XSS) izin vermekteydi. Sonuç olarak, güvenlik için bu "restricted" moduna güvenen tüm kodlar JavaScript enjeksiyonuna ("cross-site scripting"/XSS) karşı savunmasızdır. Programlama haklarına sahip ayrıcalıklı bir kullanıcı XWiki'de böyle bir yorumu ziyaret ettiğinde, kötü amaçlı JavaScript kodu kullanıcı oturumu bağlamında yürütülür. Bu durum, programlama haklarıyla sunucu tarafında kod çalıştırılmasına olanak tanıyarak XWiki örneğinin gizliliğini, bütünlüğünü ve erişilebilirliğini etkiler. Bu sorun XWiki 14.10 sürümünde yamalanmıştır; artık restricted modunda HTML yorumları kaldırılmakta ve yorumların `>` ile başlamadığından emin olan bir kontrol uygulanmaktadır. Düzeltmeyi içeren bir sürüme yükseltmek dışında bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- xwiki commons14.10 ya da sonraki bir sürüm
- org.xwiki.commons:xwiki-commons-xml14.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki commons | 4.3 ≤ v < 14.10, 4.2 | 14.10 |
| org.xwiki.commons:xwiki-commons-xmlMaven | 4.2-milestone-1 ≤ v < 14.10 | 14.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.