CVE-2023-37462
Açıklama
XWiki Platform, üzerinde oluşturulan uygulamalar için çalışma zamanı hizmetleri sunan genel bir wiki platformudur. `SkinsCode.XWikiSkinsSheet` dokümanındaki hatalı kaçış karakteri kullanımı (improper escaping), söz konusu dokümandaki görüntüleme yetkisinden programlama yetkilerine doğru bir enjeksiyon vektörüne yol açmaktadır; diğer bir ifadeyle, tüm wiki içeriklerine kısıtlamasız okuma ve yazma erişimi dahil olmak üzere uzaktan kod çalıştırmaya izin veren Groovy ve Python makroları da dahil olmak üzere rastgele betik makrolarının çalıştırılması mümkündür. Saldırı, tehlikeli bir yük içeren şekilde tasarlanmış bir isme sahip, mevcut olmayan bir sayfanın açılmasıyla gerçekleşir. Mevcut bir kurulumun savunmasız olup olmadığını kontrol etmek mümkündür. Bir kurulumun test edilmesiyle ilgili talimatlar için bağlantılı GHSA'ya bakınız. Bu sorun XWiki 14.4.8, 14.10.4 ve 15.0-rc-1 sürümlerinde düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. `d9c88ddc` düzeltme commit'i etkilenen `SkinsCode.XWikiSkinsSheet` dokümanına manuel olarak da uygulanabilir ve yükseltme yapamayan kullanıcıların kurulumlarını manuel olarak yamalamaları önerilir.
Nasıl düzeltilir
- xwiki xwiki14.4.8, 14.10.4 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-skin-ui14.4.8, 14.10.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 7.0 ≤ v < 14.4.8, 14.5 ≤ v < 14.10.4 | 14.4.8, 14.10.4 |
| org.xwiki.platform:xwiki-platform-skin-uiMaven | 7.0-rc-1 ≤ v < 14.4.8, 14.5 ≤ v < 14.10.4 | 14.4.8, 14.10.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.