CVE-2023-40572
Açıklama
XWiki Platform, üzerinde oluşturulan uygulamalar için çalışma zamanı hizmetleri sunan genel bir wiki platformudur. Create eylemi, bir CSRF saldırısına karşı savunmasızdır; bu durum, betik/programlama yetkisine sahip bir kullanıcı hedeflendiğinde betik çalıştırılmasına ve dolayısıyla uzaktan kod çalıştırılmasına izin vererek tüm XWiki kurulumunun gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atar. Betik yetkisine sahip bir kullanıcı bu görüntüyü görüntülediğinde ve günlükte `ERROR foo - Script executed!` mesajı göründüğünde, XWiki kurulumu savunmasızdır. Bu sorun, gerçek sayfa oluşturma işlemi için bir CSRF belirteci zorunlu kılınarak XWiki 14.10.9 ve 15.4RC1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- xwiki xwiki14.10.9 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-oldcore14.10.9, 15.4-rc-1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | v < 14.10.9, 15.0, 15.1, 15.2, 15.3 | 14.10.9 |
| org.xwiki.platform:xwiki-platform-oldcoreMaven | 3.2-milestone-3 ≤ v < 14.10.9, 15.0-rc-1 ≤ v < 15.4-rc-1 | 14.10.9, 15.4-rc-1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.