CVE-2023-48240

XWiki Platform genel bir wiki platformudur. XWiki'deki işlenmiş farklar (rendered diff), içerikleri karşılaştırabilmek ve aslında değişmemiş bir görüntü için fark göstermemek adına görüntüleri gömer. Bunun için XWiki, tüm gömülü görüntüleri sunucu tarafında talep eder. Bu istekler diğer alan adlarından gelen görüntüler için de gönderilir ve kısıtlı görüntüleme yetkisine sahip görüntülerin karşılaştırılabildiğinden emin olmak için orijinal istekte gönderilen tüm çerezleri içerir. Versiyon 11.10.1'den başlayarak; 14.10.15, 15.5.1 ve 15.6 versiyonlarından önce olan sürümlerde bu durum, bir saldırganın farkı görüntüleyen mevcut kullanıcıyı taklit etmesini sağlayan oturum açma ve oturum çerezlerini çalmasına olanak tanır. Saldırı, işlenmiş farka referans veren bir görüntü ile tetiklenebilir, bu da tetiklenmesini kolaylaştırır. Oturum açma çerezlerini çalmanın yanı sıra, bu durum aynı zamanda sunucu taraflı istek sahteciliğine (herhangi bir başarılı isteğin sonucu görüntünün kaynağında döndürülür) ve korunan içeriğin görüntülenmesine izin verir çünkü bir kaynak önbelleğe alındığında tüm kullanıcılara döndürülür. Yalnızca başarılı istekler önbelleğe alındığından, önbellek kaynağa erişim izni olan ilk kullanıcı tarafından doldurulacaktır. Bu sorun XWiki 14.10.15, 15.5.1 ve 15.6 sürümlerinde düzeltilmiştir. İşlenmiş fark artık yalnızca güvenilir alan adlarından görüntü indirir. Ayrıca, çerezler yalnızca görüntünün alan adı istenen alan adı ile aynı olduğunda gönderilir. Önbellek, her kullanıcıya özel olacak şekilde değiştirilmiştir. Geçici bir çözüm olarak, `WEB-INF/lib/` dizinindeki `xwiki-platform-diff-xml-<version>.jar` dosyası silinerek görüntü gömme özelliği devre dışı bırakılabilir.