CVE-2023-50721
Açıklama
XWiki Platform genel bir wiki platformudur. 4.5-rc-1 sürümünden başlayarak 14.10.15, 15.5.2 ve 15.7-rc-1 sürümlerinden önceki versiyonlarda, arama yönetimi arayüzü, arama kullanıcı arayüzü uzantılarının id ve label değerlerini uygun şekilde kaçırmamaktadır; bu durum, tüm XWiki örneğinin gizliliğini, bütünlüğünü ve erişilebilirliğini etkileyen ve uzaktan kod çalıştırmaya izin veren Groovy makroları dahil olmak üzere betik makroları içeren XWiki sözdiziminin enjekte edilmesine olanak tanır. Bu saldırı, arama yönetiminde görüntülenecek kullanıcı arayüzü uzantıları herhangi bir belgeye herhangi bir kullanıcı tarafından eklenebildiği için, kullanıcının profili gibi bazı wiki sayfalarını düzenleyebilen (varsayılan olarak düzenlenebilir) her kullanıcı tarafından gerçekleştirilebilir. Gerekli kaçış işlemleri XWiki 14.10.15, 15.5.2 ve 15.7RC1 sürümlerine eklenmiştir. Geçici bir çözüm olarak yama, `XWiki.SearchAdmin` sayfasına manuel olarak uygulanabilir.
Nasıl düzeltilir
- xwiki xwiki14.10.5, 15.5.2 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-search-ui14.10.15, 15.5.2, 15.7-rc-1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 4.5 ≤ v < 14.10.5, 15.0 ≤ v < 15.5.2, 15.6, 15.7 | 14.10.5, 15.5.2 |
| org.xwiki.platform:xwiki-platform-search-uiMaven | 4.5-rc-1 ≤ v < 14.10.15, 15.0-rc-1 ≤ v < 15.5.2, 15.6-rc-1 ≤ v < 15.7-rc-1 | 14.10.15, 15.5.2, 15.7-rc-1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.