PT-2022-23184 · Xwiki · Xwiki+1

Michael Hamann · CVE-2022-36094 · Publicado 2022-09-08 · Atualizado 2022-09-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.9

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões 1.0 a 13.10.5 do XWiki Platform Web Parent POM

Versões 14.0-rc-1 a 14.3 do XWiki Platform Web Parent POM

Descrição

A vulnerabilidade permite o armazenamento de JavaScript que será executado por qualquer pessoa que visualize o histórico de um anexo contendo JavaScript em seu nome. Por exemplo, um anexo com um nome como ><img src=1 onerror=alert(1)>.jpg executará o alerta. Esta vulnerabilidade foi corrigida nas versões XWiki 13.10.6 e 14.3RC1.

Recomendações

Para versões anteriores à 13.10.6, atualize para a versão 13.10.6 ou posterior.

Para versões anteriores à 14.3RC1, atualize para a versão 14.3RC1 ou posterior.

Como solução alternativa temporária, considere substituir o arquivo viewattachrev.vm por uma versão corrigida a partir do patch, sem atualizar o XWiki.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2022-36094

GHSA-MXF2-4R22-5HQ9

Produtos afetados

Xwiki

Xwiki Platform Web Parent Pom

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36094.json · Exploit
• 🔥 https://jira.xwiki.org/browse/XWIKI-19612 · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-mxf2-4r22-5hq9 · Nota
• https://github.com/xwiki/xwiki-platform/commit/047ce9fa4a7c13f3883438aaf54fc50f287a7e8e · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-36094 · Nota de Segurança
• https://t.me/cibsecurity/49485 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mxf2-4r22-5hq9 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-36094 · Aviso do Fabricante