CVE-2026-53966
Açıklama
XWiki Platform genel bir wiki platformudur. 13.4-rc-1 ile 16.10.17, 17.4.10, 17.10.4 ve 18.1.0-rc-1 sürümleri arasında, Live Data düzenleme REST API'si, bir sayfayı düzenleyebilen kullanıcının normal belge kaydetme yetkilendirme kontrollerini yürütmeden o sayfanın haklarını değiştirmesine izin verir. Kullanıcı, script hakkı tanımlayabilir ve ardından potansiyel olarak tehlikeli Velocity scriptleri çalıştırabilir veya istemcilere filtrelenmemiş HTML ve JavaScript gönderebilir. Aynı eksik kontroller, UserUpdatingDocumentEvent ve ilgili kullanıcı belge olayları için dinleyici (listener) olarak uygulanan eklenti güvenlik kontrollerini de devre dışı bırakabilir. Bu sorun 16.10.17, 17.4.10, 17.10.4 ve 18.1.0-rc-1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.xwiki.platform:xwiki-platform-livedata-livetable16.10.17, 17.4.10, 17.10.4, 18.1.0-rc-1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.xwiki.platform:xwiki-platform-livedata-livetableMaven | 13.4-rc-1 ≤ v < 16.10.17, 17.0.0-rc-1 ≤ v < 17.4.10, 17.5.0-rc-1 ≤ v < 17.10.4, 18.0.0-rc-1 ≤ v < 18.1.0-rc-1 | 16.10.17, 17.4.10, 17.10.4, 18.1.0-rc-1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.