PT-2022-26159 · Xwiki · Xwiki-Platform-Oldcore

Simon Urli · Publicado 2022-11-21 · Atualizado 2022-11-30 · CVE-2022-41929

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do xwiki-platform-oldcore anteriores à 13.10.7

Versões do xwiki-platform-oldcore anteriores à 14.4.2

Versões do xwiki-platform-oldcore anteriores à 14.5RC1

Descrição

O problema está relacionado à falta de autorização no método setDisabledStatus da classe User, permitindo que usuários com apenas direitos de Script habilitem ou desabilitem outros usuários. Essa operação deve ser restrita a usuários com direitos de administrador.

Recomendações

Para versões anteriores à 13.10.7, atualize para a versão 13.10.7 ou posterior.

Para versões anteriores à 14.4.2, atualize para a versão 14.4.2 ou posterior.

Para versões anteriores à 14.5RC1, atualize para a versão 14.5RC1 ou posterior.

Como solução alternativa temporária, considere restringir os direitos de Script a usuários confiáveis até que o problema seja resolvido.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-41929

GHSA-2GJ2-VJ98-J2QQ

Produtos afetados

Xwiki-Platform-Oldcore

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41929.json · Exploit
• 🔥 https://jira.xwiki.org/browse/XWIKI-19804 · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-2gj2-vj98-j2qq · Nota
• https://github.com/xwiki/xwiki-platform/commit/0b732f2ef0224e2aaf10e2e1ef48dbd3fb6e10cd · Correção
• https://osv.dev/vulnerability/GHSA-2gj2-vj98-j2qq · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41929 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-41929 · Aviso do Fabricante