CVE-2023-34465
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W XWiki Platform, od wersji 11.8-rc-1 do 14.4.8, 14.10.6 i 15.2, każdy zalogowany użytkownik może edytować konfigurację `Mail.MailConfig`. To pozwala na zmianę konfiguracji obfuskacji maili oraz przeglądanie i edytowanie ustawień wysyłania maili, w tym nazwy domeny SMTP i poświadczeń.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane zmiany w konfiguracji mailowej, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu do kont e-mail.
Rekomendacja
Zaleca się aktualizację do wersji XWiki 14.4.8, 14.10.6 lub 15.1. Alternatywnie, należy ręcznie zaktualizować uprawnienia strony `Mail.MailConfig`, aby tylko zaufani użytkownicy mogli ją przeglądać, edytować i usuwać.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform. Starting in version 11.8-rc-1 and prior to versions 14.4.8, 14.10.6, and 15.2, `Mail.MailConfig` can be edited by any logged-in user by default. Consequently, they can change the mail obfuscation configuration and view and edit the mail sending configuration, including the smtp domain name and credentials. The problem has been patched in XWiki 14.4.8, 14.10.6, and 15.1. As a workaround, the rights of the `Mail.MailConfig` page can be manually updated so that only a set of trusted users can view, edit and delete it (e.g., the `XWiki.XWikiAdminGroup` group).