CVE-2023-48293

XWiki Admin Tools Application, XWiki'nin yönetimine yardımcı olacak araçlar sağlar. Versiyon 4.5.1 öncesinde, XWiki aracındaki sorguda bulunan bir siteler arası istek sahteciliği (CSRF) zafiyeti, XWiki kurulumunun veritabanı üzerinde rastgele veritabanı sorgularının çalıştırılmasına izin verir. Bu durum, diğer şeylerin yanı sıra, wikinin tüm verilerinin değiştirilmesine ve silinmesine olanak tanır. Bu hem wikiye zarar vermek hem de saldırgan için yüksek yetkili bir hesap oluşturmak amacıyla kullanılabilir; böylece tüm XWiki örneğinin gizliliği, bütünlüğü ve erişilebilirliği etkilenir. Olası bir saldırı vektörü, wiki üzerindeki yorumlardır; `[[image:path:/xwiki/bin/view/Admin/QueryOnXWiki?query=DELETE%20FROM%20xwikidoc]]` gibi wiki sözdizimiyle bir resim gömüldüğünde, bir yönetici kullanıcı bu yorumu görüntülediğinde tüm belgeler veritabanından silinecektir. Bu sorun, form belirteci (token) kontrolleri eklenerek Admin Tools Application 4.5.1 sürümünde düzeltilmiştir. Bazı geçici çözümler mevcuttur. Yama, etkilenen sayfalara manuel olarak da uygulanabilir. Alternatif olarak, eğer sorgu aracı gerekli değilse, `Admin.SQLToolsGroovy` belgesi silinerek tüm veritabanı sorgu araçları devre dışı bırakılabilir.