PT-2022-23180 · Xwiki · Xwiki

Thomas Mortagne · Publicado 2022-09-08 · Atualizado 2022-09-16 · CVE-2022-36090

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões antigas do XWiki Platform Core anteriores à 13.1.0.5 e à 14.3-rc-1

Descrição

O problema decorre da falta de verificações para usuários inativos no XWiki, incluindo o serviço REST, permitindo que um usuário desativado se reative usando uma chamada REST. Alguns manipuladores de recursos criados por extensões também não são protegidos por padrão, permitindo que usuários inativos realizem ações para tais extensões. Esse problema existe pelo menos desde a versão 1.1 do XWiki e é mais crítico para as versões 11.3-rc-1 e posteriores.

Recomendações

Para versões anteriores à 13.1.0.5 e 14.3-rc-1, atualize para o XWiki 13.10.5 ou XWiki 14.3-rc-1 para resolver o problema.

Como não há uma solução alternativa temporária disponível, a atualização do XWiki é a única solução para mitigar o risco.

Exploit

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2022-36090

GHSA-JGC8-GVCX-9VFX

Produtos afetados

Xwiki

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36090.json · Exploit
• 🔥 https://jira.xwiki.org/browse/XWIKI-19559 · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-jgc8-gvcx-9vfx · Nota
• https://github.com/xwiki/xwiki-platform/commit/e074d226d9b2b96a0a1ba4349d1b73a802842986 · Correção
• https://t.me/cibsecurity/49461 · Publicação no Telegram
• https://t.me/cvenotify/35876 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-jgc8-gvcx-9vfx · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-36090 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-36090 · Aviso do Fabricante