Thomas Mortagne

**Nome do Software Vulnerável e Versões Afetadas** Versões do XWiki de 2.17.1 a 2.18.1 **Descrição** O OpenID Connect (OIDC) do XWiki contém ferramentas para manipular o protocolo OpenID Connect. Indivíduos com acesso de visualização (VIEW) a um perfil de usuário podem gerar um token para esse usuário em versões anteriores à 2.18.2. Se a instância do XWiki permitir autenticação por token, isso permite a autenticação como qualquer usuário, pois os perfis de usuário são frequentemente visíveis para outros usuários registrados. **Recomendações** Atualize para a versão 2.18.2. Desabilite o acesso por token.

**Name of the Vulnerable Software and Affected Versions** xWiki versions prior to 16.10.6 xWiki versions prior to 17.3.0-rc-1 **Description** The application allows execution of arbitrary SQL queries in Oracle databases using functions like `DBMS XMLGEN` or `DBMS XMLQUERY`. The XWiki#searchDocuments API does not sanitize queries, and Hibernate allows the use of native functions within HQL queries. **Recommendations** Upgrade to xWiki version 16.10.6 or later. Upgrade to xWiki version 17.3.0-rc-1 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do XWiki de 1.6-milestone-1 até 15.10.16 Versões do XWiki anteriores à 16.4.6 Versões do XWiki anteriores à 16.10.1 **Descrição** O problema permite que um usuário com a permissão SCRIPT escape do contexto de execução HQL e realize uma injeção SQL cega para executar comandos SQL arbitrários no backend do banco de dados. Dependendo do backend do banco de dados utilizado, o atacante pode ser capaz de obter informações confidenciais, como hashes de senha do banco de dados, bem como executar consultas UPDATE/INSERT/DELETE. **Recomendações** Para as versões de 1.6-milestone-1 até 15.10.16, atualize para a versão 15.10.16 ou posterior. Para versões anteriores à 16.4.6, atualize para a versão 16.4.6 ou posterior. Para versões anteriores à 16.10.1, atualize para a versão 16.10.1 ou posterior. Como solução temporária, considere restringir a permissão SCRIPT para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões da Plataforma XWiki anteriores à 14.10.17 Versões da Plataforma XWiki anteriores à 15.5.3 Versões da Plataforma XWiki anteriores à 15.8-rc-1 **Descrição** A Plataforma XWiki é uma plataforma wiki genérica que oferece serviços de tempo de execução para aplicativos construídos sobre ela. A ação de reversão não possui a proteção de direitos adequada, permitindo que um usuário reverta para uma versão anterior da página para obter direitos que não possui mais. **Recomendações** Para versões anteriores à 14.10.17, atualize para a versão 14.10.17 ou posterior. Para versões anteriores à 15.5.3, atualize para a versão 15.5.3 ou posterior. Para versões anteriores à 15.8-rc-1, atualize para a versão 15.8-rc-1 ou posterior. Como solução temporária, considere a possibilidade de excluir versões antigas de documentos que possam permitir que usuários obtenham mais direitos.

**Name of the Vulnerable Software and Affected Versions** XWiki Platform versions 3.3-milestone-2 through 14.10.3 XWiki Platform versions prior to 15.0-rc-1 **Description** The issue is related to authorization errors in the XWiki Platform, allowing a remote attacker to elevate their privileges. A user can execute actions with the rights of the author of the XWiki.ClassSheet document. This can be achieved by editing the user profile with the object editor and adding a specific object, then editing the profile with the wiki editor and adding certain syntax. The estimated number of potentially affected devices is not provided. There are no known real-world incidents where this issue was exploited. **Recommendations** For XWiki Platform versions 3.3-milestone-2 through 14.10.3, update to version 14.10.4 to resolve the issue. For XWiki Platform versions prior to 15.0-rc-1, update to version 15.0-rc-1 to resolve the issue. As a temporary workaround, consider restricting access to the `DocumentSheetBinding` object and the `groovy` syntax in the wiki editor to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** XWiki versions prior to 14.4.7 XWiki versions prior to 14.10 **Description** The Document script API returns directly a DocumentAuthors, allowing to set any authors to the document. This can allow subsequent executions of scripts since this author is used for checking rights. An example of such an attack involves setting the content author to 'xwiki:XWiki.superadmin' using the `velocity` template engine and the `setContentAuthor` method. **Recommendations** For versions prior to 14.4.7, update to version 14.4.7 or later to patch the issue. For versions prior to 14.10, update to version 14.10 or later to patch the issue. As a temporary workaround, consider restricting the use of the Document script API until a patch is available. Avoid using the `authors` variable in the affected API endpoint until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** XWiki Platform versions 11.6-rc-1 through 14.8 XWiki Platform versions 14.4.0 through 14.4.5 XWiki Platform versions 13.10.0 through 13.10.9 **Description** The XWiki Platform is a generic wiki platform where comments are supposed to be executed with the right of superadmin but in restricted mode. However, the async macro does not take into account the restricted mode, allowing any user with comment right to use the async macro to make it execute any wiki content with the right of superadmin. **Recommendations** For XWiki Platform versions 11.6-rc-1 through 14.8, update to version 14.9. For XWiki Platform versions 14.4.0 through 14.4.5, update to version 14.4.6. For XWiki Platform versions 13.10.0 through 13.10.9, update to version 13.10.10. As a temporary workaround, consider applying a patch and rebuilding and redeploying `org.xwiki.platform:xwiki-platform-rendering-async-macro`.

**Name of the Vulnerable Software and Affected Versions** XWiki Platform versions 6.3-rc-1 through 13.10.9 XWiki Platform versions 6.2.4 through 14.4.5 XWiki Platform versions 14.4.6 is not affected, but versions prior to 14.4.6 are **Description** The issue allows injecting arbitrary wiki syntax, including Groovy, Python, and Velocity script macros, via the `newThemeName` request parameter in combination with additional parameters `form token=1&action=create`. This can lead to the execution of malicious code on the server. For example, a request to "/xwiki/bin/view/FlamingoThemesCode/WebHomeSheet?newThemeName=foo%22%2F%7D%7D%7B%7Basync%20async%3D%22true%22%20cached%3D%22false%22%20context%3D%22doc.reference%22%7D%7D%7B%7Bgroovy%7D%7Dprintln(%22hello%20from%20groovy!%22)%7B%7B%2Fgroovy%7D%7D%7B%7B%2Fasync%7D%7D&form token=1&action=create" will execute the Groovy code `println("hello from groovy!")` on the server. **Recommendations** For versions 6.3-rc-1 through 13.10.9, update to version 13.10.10 or later. For versions 6.2.4 through 14.4.5, update to version 14.4.6 or later. As a temporary workaround for all affected versions, edit `FlamingoThemesCode.WebHomeSheet` and manually perform the changes from the patch fixing the issue.

**Nome do software vulnerável e versões afetadas** Versões da XWiki Platform anteriores à 13.10.8 Versões da XWiki Platform anteriores à 14.6 **Descrição** A XWiki Platform é uma plataforma wiki genérica que oferece serviços de tempo de execução para aplicativos desenvolvidos com base nela. O aplicativo permite que qualquer pessoa com acesso de visualização modifique qualquer página do wiki importando um pacote XAR malicioso. **Recomendações** Para versões anteriores à 13.10.8, atualize para a versão 13.10.8 ou posterior. Para versões anteriores à 14.6, atualize para a versão 14.6 ou posterior. Como solução alternativa temporária, considere definir o direito da página Filter.WebHome e garantir que apenas os administradores principais do wiki possam visualizar a aplicação instalada no wiki principal ou editar a página e aplicar as alterações descritas no commit fb49b4f.

**Nome do software vulnerável e versões afetadas** Versões antigas do XWiki Platform Core anteriores à 13.1.0.5 e à 14.3-rc-1 **Descrição** O problema decorre da falta de verificações para usuários inativos no XWiki, incluindo o serviço REST, permitindo que um usuário desativado se reative usando uma chamada REST. Alguns manipuladores de recursos criados por extensões também não são protegidos por padrão, permitindo que usuários inativos realizem ações para tais extensões. Esse problema existe pelo menos desde a versão 1.1 do XWiki e é mais crítico para as versões 11.3-rc-1 e posteriores. **Recomendações** Para versões anteriores à 13.1.0.5 e 14.3-rc-1, atualize para o XWiki 13.10.5 ou XWiki 14.3-rc-1 para resolver o problema. Como não há uma solução alternativa temporária disponível, a atualização do XWiki é a única solução para mitigar o risco.

**Nome do software vulnerável e versões afetadas** XWiki Platform Filter UI, versões 5.4.4 a 12.10.10 XWiki Platform Filter UI, versões 13.0.0 a 13.4.6 XWiki Platform Filter UI, versões 13.10.0 a 13.10.2 Versões 14.0.0-rc-0 da interface de usuário do filtro da plataforma XWiki **Descrição** O problema está relacionado a um possível vetor de cross-site scripting na página wiki `Filter.FilterStreamDescriptorForm`, afetando praticamente todos os campos de formulário exibidos na página inicial do aplicativo. **Recomendações** Para as versões 5.4.4 a 12.10.10, edite a página wiki `Filter.FilterStreamDescriptorForm` de acordo com as instruções do Alerta de Segurança do GitHub. Para as versões 13.0.0 a 13.4.6, edite a página wiki `Filter.FilterStreamDescriptorForm` de acordo com as instruções do Alerta de Segurança do GitHub. Para as versões 13.10.0 a 13.10.2, edite a página wiki `Filter.FilterStreamDescriptorForm` de acordo com as instruções do Alerta de Segurança do GitHub. Para a versão 14.0.0-rc-0, edite a página wiki `Filter.FilterStreamDescriptorForm` de acordo com as instruções do Alerta de Segurança do GitHub.

**Nome do software vulnerável e versões afetadas** Versões da XWiki Platform de 8.3-rc-1 a 12.10.3 Versões da XWiki Platform anteriores à 13.10.3 Versões da XWiki Platform anteriores à 14.0 **Descrição** A vulnerabilidade permite o acesso a qualquer arquivo localizado no carregador de classes usando a API de modelos e um caminho que contenha “..”. Por exemplo, `{{template name="../xwiki.hbm.xml"/}}`. O nível de confidencialidade deste aviso é considerado baixo, pois nenhum dos arquivos disponíveis no carregador de classes do XWiki Standard contém dados altamente confidenciais. **Recomendações** Para as versões 8.3-rc-1 a 12.10.3 da Plataforma XWiki, atualize para a versão 13.10.3 ou 14.0. Para as versões da Plataforma XWiki anteriores à 13.10.3, atualize para a versão 13.10.3 ou 14.0. Para as versões da XWiki Platform anteriores à 14.0, atualize para a versão 14.0. Como solução temporária, considere restringir o acesso à API de modelos até que um patch esteja disponível. Os administradores devem atualizar seu wiki para uma versão corrigida.

**Nome do software vulnerável e versões afetadas** XWiki Platform Wiki UI Main Wiki, versões 5.3-milestone-2 a 12.10.10 Versões 13.4.6 e anteriores do XWiki Platform Wiki UI Main Wiki Versões 13.10.2 e anteriores do XWiki Platform Wiki UI Main Wiki Versões 14.0-rc-1 e anteriores do XWiki Platform Wiki UI Main Wiki **Descrição** O problema diz respeito a um possível vetor de cross-site scripting na página wiki `WikiManager.JoinWiki` relacionado ao campo `requestJoin`. **Recomendações** Para as versões 5.3-milestone-2 a 12.10.10, atualize para a versão 12.10.11. Para as versões 13.4.6 e anteriores, atualize para a versão 13.4.7. Para as versões 13.10.2 e anteriores, atualize para a versão 13.10.3. Como solução alternativa temporária para todas as versões afetadas, edite a página wiki `WikiManager.JoinWiki` e altere a linha `<input type=‘hidden’ name=‘requestJoin’ value="$!request.requestJoin"/>` para `<input type=‘hidden’ name=‘requestJoin’ value="$escapetool.xml($!request.requestJoin)">`.

**Nome do software vulnerável e versões afetadas** Versões da interface do usuário do tema Flamingo da plataforma XWiki anteriores à 12.10.11 Versões da interface do usuário do tema Flamingo da plataforma XWiki anteriores à 13.4.7 Versões da interface do usuário do tema Flamingo da plataforma XWiki anteriores à 13.10.3 Versão 14.0-rc-1 e anteriores da interface do usuário do tema Flamingo da plataforma XWiki **Descrição** Um possível vetor de cross-site scripting está presente na página wiki `FlamingoThemesCode.WebHomeSheet` relacionada ao campo de formulário `newThemeName`. Essa vulnerabilidade pode ser explorada, permitindo possíveis atividades maliciosas. **Recomendações** Para versões anteriores à 12.10.11, atualize para a versão 12.10.11 ou posterior. Para versões anteriores à 13.4.7, atualize para a versão 13.4.7 ou posterior. Para versões anteriores à 13.10.3, atualize para a versão 13.10.3 ou posterior. Para a versão 14.0-rc-1 e anteriores, atualize para uma versão posterior à 14.0-rc-1. Como solução temporária, edite a página wiki `FlamingoThemesCode. WebHomeSheet` e altere a linha `<input type="hidden" name="newThemeName" id="newThemeName" value="$request.newThemeName" />` para `<input type="hidden" name="newThemeName" id="newThemeName" value="$escapetool.xml($request.newThemeName)" />`.

**Nome do software vulnerável e versões afetadas** Versões da plataforma XWiki anteriores à 11.10.11 Versões da plataforma XWiki anteriores à 12.6.3 Versões da plataforma XWiki anteriores à 12.8-rc-1 **Descrição** O `{{wikimacrocontent}}` executa o conteúdo com os direitos do autor da macro wiki, em vez dos direitos de quem a chamou. Isso possibilita a injeção de scripts por meio dela, e estes serão executados com os direitos da macro wiki, geralmente um usuário com direitos de programação. Não existe tal macro por padrão no XWiki Standard, mas ela pode ter sido criada ou instalada com uma extensão. **Recomendações** Para versões anteriores à 11.10.11, atualize para a versão 11.10.11 ou posterior. Para versões anteriores à 12.6.3, atualize para a versão 12.6.3 ou posterior. Para versões anteriores à 12.8-rc-1, atualize para a versão 12.8-rc-1 ou posterior. Como solução temporária, considere desativar as macros afetadas até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do XWiki anteriores à 12.5 Versões do XWiki anteriores à 11.10.6 **Descrição** A vulnerabilidade permite que qualquer usuário com permissão SCRIPT (permissão EDIT antes do XWiki 7.4) obtenha acesso ao contexto Servlet do servidor de aplicativos. Esse acesso contém ferramentas que permitem a instanciação de objetos Java arbitrários e a invocação de métodos, podendo levar à execução de código arbitrário. **Recomendações** Para versões anteriores à 12.5, atualize para a versão 12.5 ou posterior. Para versões anteriores à 11.10.6, atualize para a versão 11.10.6 ou posterior. Como solução alternativa temporária, considere conceder o direito SCRIPT apenas a usuários confiáveis.