PT-2024-24096 · Xwiki · Xwiki Platform
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões da XWiki Platform de 5.0-rc-1 a 14.10.19
Versões da Plataforma XWiki 15.5.3 e anteriores
Versões da Plataforma XWiki anteriores à 15.9-rc-1
Descrição
A vulnerabilidade permite que qualquer usuário com direitos de edição em qualquer página execute código no servidor adicionando um objeto do tipo
XWiki.SearchSuggestSourceClass ao seu perfil de usuário ou a qualquer outra página. Isso compromete a confidencialidade, integridade e disponibilidade de toda a instalação do XWiki. Para explorar essa vulnerabilidade, um invasor pode adicionar um objeto do tipo XWiki.SearchSuggestSourceClass à sua página de perfil, definir propriedades como name, engine, service, query, limit e icon com código malicioso e, em seguida, acessar a página com um parâmetro de URL específico ?sheet=XWiki.SearchSuggestSourceSheet.Recomendações
Para as versões 5.0-rc-1 a 14.10.19 da Plataforma XWiki, atualize para a versão 14.10.20 ou posterior.
Para as versões 15.5.3 e anteriores da Plataforma XWiki, atualize para a versão 15.5.4 ou posterior.
Para as versões da Plataforma XWiki anteriores à 15.9-rc-1, atualize para a versão 15.9-rc-1 ou posterior.
Como solução alternativa temporária, aplique manualmente o patch ao documento
XWiki.SearchSuggestSourceSheet.Exploit
Correção
Eval Injection
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Xwiki Platform