PT-2024-27963 · Xwiki · Xwiki Platform

Tmortagne · Publicado 2024-06-24 · Atualizado 2024-06-26 · CVE-2024-38369

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões da plataforma XWiki anteriores à 15.0 RC1

Descrição

O conteúdo de um documento incluído usando {{include reference="targetdocument"/}} é executado com os direitos do usuário que o incluiu e não com os direitos de seu autor. Isso significa que qualquer usuário capaz de modificar o documento de destino pode se passar pelo autor do conteúdo que utilizou a macro include.

Recomendações

Para versões anteriores à 15.0 RC1, certifique-se de proteger qualquer documento incluído para garantir que apenas usuários autorizados possam modificá-lo.

Uma solução alternativa está disponível na versão 14.10.2 para permitir forçar a execução do conteúdo incluído com os direitos do autor do conteúdo de destino, em vez do comportamento padrão.

Atualize para o XWiki 15.0 RC1 ou posterior, onde o comportamento padrão foi corrigido.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2024-38369

GHSA-QCJ3-WPGM-QPXH

Produtos afetados

Xwiki Platform

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/38xxx/CVE-2024-38369.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-qcj3-wpgm-qpxh · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/d1a84a3eea38305ff8e10ba411910c0675ac157c · Nota
• https://github.com/xwiki/xwiki-platform/commit/f627abe2dc39b07ff75fe68398cc8a1bbc743ef7 · Nota
• https://github.com/xwiki/xwiki-platform/commit/c1fb14402ce2ee569c5a8e3f1f8e64ae45dfbfb0 · Nota
• https://github.com/xwiki/xwiki-platform/commit/b48116a3ebe9ce928c401b5d068d4db7e7239575 · Nota
• https://github.com/xwiki/xwiki-platform/commit/0a4f9b026ba9931516b4e9b3019da8da838c7ac6 · Nota
• https://t.me/cvenotify/84201 · Publicação no Telegram
• https://jira.xwiki.org/browse/XWIKI-20471 · Nota
• https://jira.xwiki.org/browse/XWIKI-5027 · Nota
• https://osv.dev/vulnerability/CVE-2024-38369 · Aviso do Fabricante
• https://t.me/cvenotify/84495 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-38369 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-qcj3-wpgm-qpxh · Aviso do Fabricante