PT-2024-18996 · Xwiki · Xwiki Platform

Thomas Mortagne · Publicado 2024-01-08 · Atualizado 2024-01-12 · CVE-2024-21648

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões da Plataforma XWiki anteriores à 14.10.17

Versões da Plataforma XWiki anteriores à 15.5.3

Versões da Plataforma XWiki anteriores à 15.8-rc-1

Descrição

A Plataforma XWiki é uma plataforma wiki genérica que oferece serviços de tempo de execução para aplicativos construídos sobre ela. A ação de reversão não possui a proteção de direitos adequada, permitindo que um usuário reverta para uma versão anterior da página para obter direitos que não possui mais.

Recomendações

Para versões anteriores à 14.10.17, atualize para a versão 14.10.17 ou posterior.

Para versões anteriores à 15.5.3, atualize para a versão 15.5.3 ou posterior.

Para versões anteriores à 15.8-rc-1, atualize para a versão 15.8-rc-1 ou posterior.

Como solução temporária, considere a possibilidade de excluir versões antigas de documentos que possam permitir que usuários obtenham mais direitos.

Exploit

Correção

Enumeração de Fraquezas

CWE-274

Identificadores relacionados

CVE-2024-21648

GHSA-XH35-W7WG-95V3

Produtos afetados

Xwiki Platform

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/21xxx/CVE-2024-21648.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-xh35-w7wg-95v3 · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/4fa7f302b14da6f05a6904a14e3741c4c06c40a1 · Nota
• https://github.com/xwiki/xwiki-platform/commit/1f3220f14bb3a4dcbd10d31134c39a06037f9a74 · Nota
• https://github.com/xwiki/xwiki-platform/commit/4de72875ca49602796165412741033bfdbf1e680 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-21648 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-21648 · Aviso do Fabricante
• https://t.me/cvenotify/67257 · Publicação no Telegram
• https://jira.xwiki.org/browse/XWIKI-21257 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xh35-w7wg-95v3 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1744507567395709315 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1744531954467274945 · Publicação no Twitter
• https://t.me/cvenotify/66691 · Publicação no Telegram