PT-2024-5617 · Xwiki · Xwiki Platform

Pierre Jeanjean · Publicado 2024-07-31 · Atualizado 2024-09-06 · CVE-2024-37898

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões da XWiki Platform anteriores à 14.10.21

Versões da XWiki Platform anteriores à 15.5.5

Versões da XWiki Platform anteriores à 15.10.6

Descrição

O problema está relacionado à falta de autorização na Plataforma XWiki, permitindo que um invasor remoto possa executar código arbitrário. Quando um usuário tem direitos de visualização, mas não de edição em uma página, ele pode excluir a página e substituí-la por um novo conteúdo sem ter direitos de exclusão. A versão anterior da página é movida para a lixeira e pode ser restaurada por um administrador. No entanto, não parece possível explorar isso para obter quaisquer direitos.

Recomendações

Para versões anteriores à 14.10.21, atualize para a versão 14.10.21 ou posterior.

Para versões anteriores à 15.5.5, atualize para a versão 15.5.5 ou posterior.

Para versões anteriores à 15.10.6, atualize para a versão 15.10.6 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

BDU:2024-06311

CVE-2024-37898

GHSA-33GP-GMG3-HFPQ

Produtos afetados

Xwiki Platform

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37898.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-33gp-gmg3-hfpq · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/e4968fe268e5644ffd9bfa4ef6257d2796446009 · Correção
• https://github.com/xwiki/xwiki-platform/commit/56f5d8aab7371d5ba891168f73890806551322c5 · Correção
• https://github.com/xwiki/xwiki-platform/commit/0bc27d6ec63c8a505ff950e2d1792cb4f773c22e · Correção
• https://github.com/xwiki/xwiki-platform/commit/c5efc1e519e710afdf3c5f40c0fcc300ad77149f · Correção
• https://bdu.fstec.ru/vul/2024-06311 · Nota de Segurança
• https://t.me/cvenotify/88082 · Publicação no Telegram
• https://t.me/cvenotify/88200 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-37898 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-33gp-gmg3-hfpq · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-37898 · Aviso do Fabricante
• https://t.me/cvedetector/2150 · Publicação no Telegram
• https://jira.xwiki.org/browse/XWIKI-21553 · Nota