PT-2022-16128 · Xwiki · Xwiki Platform

Denis Gervalle · Publicado 2022-02-09 · Atualizado 2022-02-16 · CVE-2022-23615

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões da XWiki Platform anteriores à 13.0

Descrição

O problema afeta a XWiki Platform, uma plataforma wiki genérica que oferece serviços de tempo de execução para aplicativos desenvolvidos com base nela. Nas versões afetadas, qualquer usuário com permissão SCRIPT pode salvar um documento com os direitos do usuário atual, permitindo o acesso à API que requer permissão de programação, caso o usuário atual possua essa permissão.

Recomendações

Para versões anteriores à 13.0, atualize para o XWiki 13.0 para resolver o problema.

Como solução alternativa temporária, considere limitar o acesso SCRIPT apenas a usuários confiáveis.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2022-23615

GHSA-F4CJ-3Q3H-884R

Produtos afetados

Xwiki Platform

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23615.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-f4cj-3q3h-884r · Nota
• https://github.com/xwiki/xwiki-platform/commit/7ab0fe7b96809c7a3881454147598d46a1c9bbbe · Correção
• https://osv.dev/vulnerability/CVE-2022-23615 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23615 · Nota de Segurança
• https://t.me/cibsecurity/37128 · Publicação no Telegram
• https://jira.xwiki.org/browse/XWIKI-5024 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f4cj-3q3h-884r · Aviso do Fabricante
• https://t.me/cvenotify/26543 · Publicação no Telegram