PT-2024-24336 · Xwiki · Xwiki Platform

Michael Hamann · CVE-2024-31986 · Publicado 2023-04-18 · Atualizado 2025-01-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plataforma XWiki, versões 3.1 a 4.10.18

Plataforma XWiki, versões 14.10.18 e anteriores

Plataforma XWiki, versões 15.5.4 e anteriores

Plataforma XWiki, versão 15.10-rc-1 e anteriores

Descrição

A vulnerabilidade permite a execução de código arbitrário no servidor sempre que um administrador acessa a página do agendador ou quando a página do agendador é referenciada. Isso pode ser feito criando um documento com uma referência documentada especialmente criada e um XObject XWiki.SchedulerJobClass.

Recomendações

Para as versões 3.1 a 4.10.18 da Plataforma XWiki, atualize para a versão 4.10.19 ou posterior.

Para as versões 14.10.18 e anteriores da Plataforma XWiki, atualize para a versão 14.10.19 ou posterior.

Para as versões 15.5.4 e anteriores da Plataforma XWiki, atualize para a versão 15.5.5 ou posterior.

Para a versão 15.10-rc-1 e anteriores da Plataforma XWiki, atualize para a versão 15.9 ou posterior.

Como solução alternativa temporária, modifique a página Scheduler.WebHome aplicando o patch manualmente.

Exploit

Correção

CSRF

Eval Injection

Enumeração de Fraquezas

CWE-352

CWE-95

Identificadores relacionados

BDU:2025-04026

CVE-2024-31986

GHSA-37M4-HQXV-W26G

Produtos afetados

Xwiki Platform

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/31xxx/CVE-2024-31986.json · Exploit
• 🔥 https://jira.xwiki.org/browse/XWIKI-21416 · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-37m4-hqxv-w26g · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/8a92cb4bef7e5f244ae81eed3e64fe9be95827cf · Correção
• https://github.com/xwiki/xwiki-platform/commit/efd3570f3e5e944ec0ad0899bf799bf9563aef87 · Correção
• https://github.com/xwiki/xwiki-platform/commit/f30d9c641750a3f034b5910c6a3a7724ae8f2269 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-31986 · Nota de Segurança
• https://t.me/cvenotify/76331 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-04026 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-37m4-hqxv-w26g · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-31986 · Aviso do Fabricante
• https://t.me/cvenotify/108035 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1778263598521045011 · Publicação no Twitter