PT-2024-29654 · Unknown · Xwiki Platform

Michael Hamann

·

Publicado

2024-07-31

·

Atualizado

2024-09-06

·

CVE-2024-41947

CVSS v4.0

9.4

Crítica

VetorAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Nome do software vulnerável e versões afetadas
Versões da plataforma XWiki anteriores à 15.10.8
Versões da plataforma XWiki anteriores à 16.3.0RC1
Descrição
A vulnerabilidade permite que um invasor execute trechos de JavaScript no ambiente de outro usuário, comprometendo a confidencialidade, integridade e disponibilidade de toda a instalação do XWiki. Isso pode ser feito criando um conflito quando outro usuário com mais direitos estiver editando uma página. O número estimado de dispositivos potencialmente afetados não foi especificado.
Para explorar essa vulnerabilidade, um usuário com direitos de administrador precisa editar um documento sem salvar imediatamente. Em seguida, outro usuário sem nenhum direito além de editar o documento específico deve alterar todo o conteúdo para <script>alert(‘XSS’)</script>. Quando o usuário administrador salva o documento, uma janela pop-up de conflito é exibida. Se ele selecionar “Resolver cada conflito individualmente” e vir um alerta exibindo “XSS”, a instância está vulnerável.
Recomendações
Para versões da XWiki Platform anteriores à 15.10.8, atualize para a versão 15.10.8 ou posterior.
Para versões da XWiki Platform anteriores à 16.3.0RC1, atualize para a versão 16.3.0RC1 ou posterior.
Como solução alternativa temporária, considere restringir a capacidade de criar conflitos ao editar páginas, até que um patch seja aplicado.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-41947
GHSA-692V-783F-MG8X

Produtos afetados

Xwiki Platform