CVE-2025-46557
Açıklama
XWiki genel bir wiki platformudur. 15.3-rc-1 ile 15.10.14 öncesi, 16.0.0-rc-1 ile 16.4.6 öncesi ve 16.5.0-rc-1 ile 16.10.0-rc-1 öncesi sürümlerde, XWiki alanında bulunan sayfalara erişebilen bir kullanıcı (varsayılan olarak herkes), XWiki.Authentication.Administration sayfasına erişebilir ve (xwiki.cfg dosyasında bir kimlik doğrulayıcı ayarlanmadığı sürece) yüklü başka bir kimlik doğrulayıcıya geçiş yapabilir. Varsayılan olarak yalnızca tek bir kimlik doğrulayıcının (Standard XWiki Authenticator) mevcut olduğu unutulmamalıdır. Bu nedenle, herhangi bir kimlik doğrulayıcı eklentisi yüklenmemişse, bir saldırganın herhangi bir işlem yapması gerçek anlamda mümkün değildir. Ayrıca çoğu durumda, eğer bir SSO kimlik doğrulayıcısı yüklü ve kullanılıyorsa (örneğin OIDC veya LDAP gibi), bir saldırganın yapabileceği en kötü şey standart kimlik doğrulayıcıya geri dönerek kimlik doğrulamayı bozmaktır (bunun nedeni, kayıtlı şifresi olmayan bir kullanıcıyla giriş yapmanın imkansız olması ve SSO kimlik doğrulayıcılarının genellikle böyle kullanıcılar oluşturmasıdır). Bu sorun 15.10.14, 16.4.6 ve 16.10.0-rc-1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- xwiki xwiki15.10.14, 16.4.6 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-security-authentication-ui15.10.14, 16.4.6, 16.10.0-rc-1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 15.3 ≤ v < 15.10.14, 16.0.0 ≤ v < 16.4.6, 16.5.0 ≤ v ≤ 16.9.0 | 15.10.14, 16.4.6 |
| org.xwiki.platform:xwiki-platform-security-authentication-uiMaven | 15.3-rc-1 ≤ v < 15.10.14, 16.0.0-rc-1 ≤ v < 16.4.6, 16.5.0-rc-1 ≤ v < 16.10.0-rc-1 | 15.10.14, 16.4.6, 16.10.0-rc-1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.