CVE-2023-45144
Açıklama
com.xwiki.identity-oauth:identity-oauth-ui, OAuth yetkilendirmelerine dayalı kimlik ve servis sağlayıcıların oluşturulmasına yardımcı olan bir pakettir. Bir kullanıcı OAuth yöntemiyle giriş yaptığında, GET isteğinde gönderilen identityOAuth parametreleri siteler arası betik çalıştırma (XSS) ve XWiki sözdizimi enjeksiyonuna karşı savunmasızdır. Bu durum, groovy makrosu aracılığıyla uzaktan kod çalıştırılmasına izin verir ve böylece tüm XWiki kurulumunun gizliliğini, bütünlüğünü ve erişilebilirliğini etkiler. Sorun Identity OAuth sürüm 1.6'da düzeltilmiştir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur ve kullanıcıların yükseltme yapmaları önerilir.
Nasıl düzeltilir
- xwiki oauth_identity1.6 ya da sonraki bir sürüm
- com.xwiki.identity-oauth:identity-oauth-ui1.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki oauth_identity | 1.0 ≤ v < 1.6 | 1.6 |
| com.xwiki.identity-oauth:identity-oauth-uiMaven | 1.0 ≤ v < 1.6 | 1.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.