CVE-2023-45134

XWiki Platform, üzerinde inşa edilen uygulamalar için çalışma zamanı hizmetleri sunan genel bir wiki platformudur. `org.xwiki.platform:xwiki-platform-web` sürüm 3.1-milestone-1 ile başlayıp 13.4-rc-1 öncesine kadar olan sürümleri, `org.xwiki.platform:xwiki-platform-web-templates` 14.10.2 ve 15.5-rc-1 öncesindeki sürümleri ve `org.xwiki.platform:xwiki-web-standard` sürüm 2.4-milestone-2 ile başlayıp 3.1-milestone-1 öncesine kadar olan sürümleri siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Bir saldırgan, wikinin parçası olan herhangi bir belge üzerinde (bu, saldırganın kullanıcı profili olabilir) kötü amaçlı kod içeren bir şablon sağlayıcısı oluşturabilir. Bu kod, kullanıcının bir URL'ye yönlendirilmesiyle tetiklenebilen belge oluşturma işlemi sırasında bu şablon sağlayıcısının seçilmesiyle çalıştırılır. Saldırgan için tek gereksinim bir hesaba sahip olmaktır çünkü varsayılan olarak kendi kullanıcı profili düzenlenebilir durumdadır. Bu durum, bir saldırganın kötü amaçlı bağlantıyı açan kullanıcının haklarıyla rastgele işlemler yürütmesine olanak tanır. Kullanıcının yetkilerine bağlı olarak bu durum, uzaktan kod çalıştırmaya ve tüm XWiki kurulumuna tam okuma ve yazma erişimine izin verebilir. Bu sorun; uygun kaçış karakterlerinin eklenmesiyle `org.xwiki.platform:xwiki-platform-web` 13.4-rc-1, `org.xwiki.platform:xwiki-platform-web-templates` 14.10.2 ve 15.5-rc-1 ile `org.xwiki.platform:xwiki-web-standard` 3.1-milestone-1 sürümlerinde giderilmiştir. Zafiyet barındıran createinline.vm şablon dosyası XWiki'nin WAR dosyasının bir parçasıdır ve düzeltmedeki değişikliklerin manuel olarak uygulanmasıyla yamalanabilir.