PT-2024-32313 · Xwiki · Xwiki Platform

Floerer · Publicado 2022-11-03 · Atualizado 2025-02-07 · CVE-2024-46978

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões da XWiki Platform de 13.2-rc-1 a 14.10.20

Versões da XWiki Platform de 15.0.0 a 15.5.4

Versões da XWiki Platform 15.10.0

Descrição

A vulnerabilidade permite que qualquer usuário que conheça o ID de uma preferência de filtro de notificação de outro usuário possa ativá-la, desativá-la ou excluí-la. Isso pode fazer com que o usuário afetado deixe de receber notificações em algumas páginas. A correção para essa vulnerabilidade envolve a verificação dos direitos do usuário antes de realizar qualquer ação nos filtros.

Recomendações

Para as versões 13.2-rc-1 a 14.10.20 da Plataforma XWiki, atualize para a versão 14.10.21 ou posterior.

Para as versões 15.0.0 a 15.5.4 da Plataforma XWiki, atualize para a versão 15.5.5 ou posterior.

Para as versões 15.10.0 da XWiki Platform, atualize para a versão 15.10.1 ou posterior.

Como solução alternativa temporária, considere editar o documento XWiki.Notifications.Code.NotificationPreferenceService para aplicar as alterações realizadas no commit e8acc9d8e6af7dfbfe70716ded431642ae4a6dd4.

Exploit

Correção

Enumeração de Fraquezas

CWE-648

Identificadores relacionados

BDU:2025-03685

CVE-2024-46978

GHSA-R95W-889Q-X2GX

Produtos afetados

Xwiki Platform

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/46xxx/CVE-2024-46978.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-r95w-889q-x2gx · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/e8acc9d8e6af7dfbfe70716ded431642ae4a6dd4 · Correção
• https://github.com/xwiki/xwiki-platform/commit/b9180b874a22e383ad5f2cd9e25bfed4594d4955 · Nota
• https://github.com/xwiki/xwiki-platform/commit/4771573dac88e0cf04e30f1a8dfa183c048d503a · Nota
• https://github.com/xwiki/xwiki-platform/commit/99193a7e9a203b5bb8b2583ac96f5f4d56b9aa1a · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-46978 · Nota de Segurança
• https://bdu.fstec.ru/vul/2025-03685 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-46978 · Aviso do Fabricante
• https://vuldb.com/?id.278109 · Nota
• https://t.me/cvenotify/110401 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1836534054637666530 · Publicação no Twitter
• https://jira.xwiki.org/browse/XWIKI-20337 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-r95w-889q-x2gx · Aviso do Fabricante