CVE-2024-31997
XWiki Platform remote code execution from account through UIExtension parameters
Em resumo
O XWiki executa parâmetros de extensões de UI como código com direitos totais, permitindo que qualquer usuário com permissão de edição (inclusive em seu próprio perfil) execute comandos arbitrários e comprometa todo o sistema.
Detalhe técnico
CWE-862 (Falta de Autorização): parâmetros de extensão de UI são interpretados como código Velocity e executados com privilégios de programação. Qualquer usuário autenticado com direitos de edição em documentos pode injetar parâmetros maliciosos, resultando em execução remota de código e comprometimento completo do sistema. Versões afetadas: <14.10.19, <15.5.4, <15.9-RC1.
Resumo gerado e traduzido por IA a partir da descrição oficial.
XWiki Platform is a generic wiki platform. Prior to versions 4.10.19, 15.5.4, and 15.10-rc-1, parameters of UI extensions are always interpreted as Velocity code and executed with programming rights. Any user with edit right on any document like the user's own profile can create UI extensions. This allows remote code execution and thereby impacts the confidentiality, integrity and availability of the whole XWiki installation. This vulnerability has been patched in XWiki 14.10.19, 15.5.4 and 15.9-RC1. No known workarounds are available.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
xwiki · xwiki-platformQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →Referências
https://github.com/xwiki/xwiki-platform/commit/171e7c7d0e56deaa7b3678657ae26ef95379b1eahttps://github.com/xwiki/xwiki-platform/commit/1b2574eb966457ca4ef34e557376b8751d1be90dhttps://github.com/xwiki/xwiki-platform/commit/56748e154a9011f0d6239bec0823eaaeab6ec3f7https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-c2gg-4gq4-jv5jhttps://jira.xwiki.org/browse/XWIKI-21335