CVE-2025-32968
Açıklama
XWiki genel bir wiki platformudur. 1.6-milestone-1 ile 15.10.16, 16.4.6 ve 16.10.1 öncesindeki sürümlerde, SCRIPT yetkisine sahip bir kullanıcının HQL yürütme bağlamından çıkması ve veritabanı arka ucunda rastgele SQL ifadeleri yürütmek için kör SQL enjeksiyonu gerçekleştirmesi mümkündür. Kullanılan veritabanı arka ucuna bağlı olarak saldırgan, veritabanından parola özetleri gibi gizli bilgileri elde etmenin yanı sıra UPDATE/INSERT/DELETE sorguları da yürütebilir. Bu sorun 16.10.1, 16.4.6 ve 15.10.16 sürümlerinde düzeltilmiştir. XWiki sürümünü yükseltmek dışında bilinen bir geçici çözüm yoktur. Bu REST API'ye eklenen koruma, tam seçme (select) sorgularını doğrulamak için kullanılanla aynıdır ve bu durum tutarlılığı artırmaktadır. Bununla birlikte, script API tam sorgular için her zaman bu korumaya sahip olsa da, bunun çok katı bir koruma olduğu ve bazı geçerli ancak karmaşık sorguların aniden yazarın programlama yetkisine sahip olmasını gerektirebileceği unutulmamalıdır.
Nasıl düzeltilir
- xwiki xwiki15.10.16, 16.4.6 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-oldcore15.10.16, 16.4.6, 16.10.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 1.6 ≤ v < 15.10.16, 16.0.0 ≤ v < 16.4.6, 16.5.0 ≤ v ≤ 16.10.1 | 15.10.16, 16.4.6 |
| org.xwiki.platform:xwiki-platform-oldcoreMaven | 1.6-milestone-1 ≤ v < 15.10.16, 16.0.0-rc-1 ≤ v < 16.4.6, 16.5.0-rc-1 ≤ v < 16.10.1 | 15.10.16, 16.4.6, 16.10.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.