CVE-2024-52298
Açıklama
macro-pdfviewer, Mozilla pdf.js kullanan bir XWiki PDF Görüntüleyici Makrosudur. PDF Görüntüleyici makrosu, saldırganın son yazarının eke erişimi olduğu bir sayfayı görüntüleyebildiği sürece, "Delegate my view right" özelliğini kullanarak herhangi bir eki görüntülemesine izin verir. Bunun için saldırganın makroya yalnızca bir PDF dosyası referansı sağlaması yeterlidir. İstenen ekin referansını elde etmek için saldırgan Sayfa Dizini'ndeki Ekler sekmesine erişebilir. Kullanıcı arayüzü N/A gösterse bile, kullanıcı sayfayı inceleyebilir ve canlı veri girişlerini getiren HTTP isteğini kontrol edebilir. Ek URL'si, korumalı olanlar da dahil olmak üzere tüm ekler için döndürülen JSON içerisinde mevcuttur ve gerekli değerlerin alınmasına olanak tanır. Bu güvenlik açığı versiyon 2.5.6 ile düzeltilmiştir.
Nasıl düzeltilir
- xwiki pdf_viewer_macro2.5.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki pdf_viewer_macro | v < 2.5.6 | 2.5.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.