PT-2025-4772 · Xwiki · Xwiki Platform
Marius Dumitru Florea
·
Publicado
2025-01-14
·
Atualizado
2025-01-18
·
CVE-2025-23025
CVSS v3.1
9.0
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do XWiki Platform anteriores a 15.10.2
Versões do XWiki Platform anteriores a 16.4.1
Versões do XWiki Platform anteriores a 16.6.0-rc-1
Descrição
Um usuário com apenas
direito de edição pode ingressar em uma sessão de edição em tempo real onde outros possuem direitos de acesso de script ou programação. Este usuário pode então inserir macros de renderização de script que são executadas para aqueles usuários na sessão em tempo real que possuem direitos de script ou programação. Os scripts inseridos podem ser usados para obter mais direitos de acesso.Recomendações
Para versões do XWiki Platform anteriores a 15.10.2, atualize para a versão 15.10.2 ou posterior.
Para versões do XWiki Platform anteriores a 16.4.1, atualize para a versão 16.4.1 ou posterior.
Para versões do XWiki Platform anteriores a 16.6.0-rc-1, atualize para a versão 16.6.0-rc-1 ou posterior.
Como solução temporária, considere desativar o plugin
xwiki-realtime do CKEditor na seção de administração do editor WYSIWYG ou desinstalar a extensão Realtime WYSIWYG Editor (org.xwiki.platform:xwiki-platform-realtime-wysiwyg-ui).Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Xwiki Platform