PT-2024-27818 · Xwiki · Xwiki Platform

Michael Hamann · Publicado 2024-07-31 · Atualizado 2024-09-06 · CVE-2024-37901

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões da plataforma XWiki anteriores à 14.10.21

Versões da plataforma XWiki anteriores à 15.5.5

Versões da plataforma XWiki anteriores à 15.10.2

Descrição

A vulnerabilidade permite que qualquer usuário com direitos de edição em qualquer página execute código remoto arbitrário ao adicionar instâncias de XWiki.SearchSuggestConfig e XWiki.SearchSuggestSourceClass ao seu perfil de usuário ou a qualquer outra página. Isso compromete a confidencialidade, integridade e disponibilidade de toda a instalação do XWiki.

Recomendações

Para versões da Plataforma XWiki anteriores à 14.10.21, atualize para a versão 14.10.21 ou posterior.

Para versões da Plataforma XWiki anteriores à 15.5.5, atualize para a versão 15.5.5 ou posterior.

Para versões da Plataforma XWiki anteriores à 15.10.2, atualize para a versão 15.10.2 ou posterior.

Como solução temporária, considere restringir a capacidade de adicionar instâncias de XWiki.SearchSuggestConfig e XWiki.SearchSuggestSourceClass aos perfis de usuário ou páginas até que um patch seja aplicado.

Exploit

Correção

RCE

Code Injection

Missing Authorization

Eval Injection

Enumeração de Fraquezas

CWE-94

CWE-862

CWE-95

Identificadores relacionados

CVE-2024-37901

GHSA-H63H-5C77-77P5

Produtos afetados

Xwiki Platform

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37901.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-h63h-5c77-77p5 · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/9ce3e0319869b6d8131fc4e0909736f7041566a4 · Correção
• https://github.com/xwiki/xwiki-platform/commit/0b135760514fef73db748986a3311f3edd4a553b · Correção
• https://github.com/xwiki/xwiki-platform/commit/742cd4591642be4cdcaf68325f17540e0934e64e · Correção
• https://github.com/xwiki/xwiki-platform/commit/bbde8a4f564e3c28839440076334a9093e2b4834 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-37901 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-37901 · Aviso do Fabricante
• https://jira.xwiki.org/browse/XWIKI-21473 · Aviso do Fabricante
• https://t.me/cvenotify/88084 · Publicação no Telegram
• https://twitter.com/oktsec/status/1823105734764089458 · Publicação no Twitter
• https://t.me/cvedetector/2151 · Publicação no Telegram
• https://t.me/cvenotify/88202 · Publicação no Telegram
• https://t.me/cvenotify/93638 · Publicação no Telegram