PT-2022-26157 · Xwiki · Xwiki Platform

Surlip · Publicado 2022-11-21 · Atualizado 2022-11-30 · CVE-2022-41927

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões da Plataforma XWiki anteriores à 13.10.7

Versões da Plataforma XWiki anteriores à 14.4.1

Versões da Plataforma XWiki anteriores à 14.5RC1

Descrição

A Plataforma XWiki está suscetível a ataques de falsificação de solicitação entre sites (CSRF), o que pode permitir que invasores excluam ou renomeiem tags sem a necessidade de qualquer confirmação. Essa vulnerabilidade pode ser explorada por meio de uma simples solicitação.

Recomendações

Para versões anteriores à 13.10.7, atualize para a versão 13.10.7 ou posterior.

Para versões anteriores à 14.4.1, atualize para a versão 14.4.1 ou posterior.

Para versões anteriores à 14.5RC1, atualize para a versão 14.5RC1 ou posterior.

Como solução temporária, considere corrigir as instâncias existentes diretamente, editando a página Main.Tags e adicionando uma verificação para validar o form token usando a condição #if (!$services.csrf.isTokenValid($request.get(‘form token’))), e retorne um erro se o token for inválido.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-41927

GHSA-MQ7H-5574-HW9F

Produtos afetados

Xwiki Platform

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41927.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-mq7h-5574-hw9f · Correção
• https://github.com/xwiki/xwiki-platform/commit/7fd4cda0590180c4d34f557597e9e10e263def9e · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-41927 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-41927 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mq7h-5574-hw9f · Aviso do Fabricante