CVE-2023-36470
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
XWiki Platform umożliwia atakującym wstrzykiwanie składni XWiki i kodu Velocity poprzez edytowanie dokumentów z zestawem ikon, co prowadzi do zdalnego wykonania kodu. Różne wektory ataku, w tym wykorzystanie zestawu ikon w HTML, mogą być użyte do przeprowadzenia ataku.
Ocena ryzyka
Podatność ta zagraża poufności, integralności i dostępności całej instancji XWiki, co może prowadzić do poważnych konsekwencji dla organizacji.
Rekomendacja
Zaleca się aktualizację do wersji XWiki 14.10.6 lub 15.1, które zawierają poprawki zabezpieczeń. Użytkownicy powinni również unikać edytowania zestawów ikon bez odpowiednich uprawnień.
Inne podatności w XWiki Platform
Zobacz wszystkie- CVE-2026-33137Krytyczne
Podatność w XWiki Platform w wersjach od 15.10.6 do przed 18.1.0-rc-1, 17.10.3, 17.4.9 i 16.10.17. API POST /wikis/{wikiName} wykonuje import XAR bez sprawdzania uwierzytelnienia lub autoryzacji, umożliwiając nieuwierzytelnionemu atakującemu tworzenie lub aktualizację dokumentów w docelowej wiki.
- CVE-2026-23734Krytyczne
Podatność w XWiki Platform umożliwia odczyt plików konfiguracyjnych poprzez manipulację parametrem resource w endpointach ssx i jsx, co prowadzi do Path Traversal. Luka występuje w wersjach przed 18.1.0-rc-1, 17.10.3, 17.4.9 i 16.10.17.
- CVE-2026-33229Krytyczne
XWiki Platform to platforma wiki. Przed wersjami 17.4.8 i 17.10.1 nieprawidłowo chronione API skryptowe pozwala użytkownikowi z prawem skryptu na ominięcie sandboxa Velocity i wykonanie dowolnych skryptów Python, co prowadzi do pełnego dostępu do instancji XWiki.
- CVE-2023-40573Krytyczne
XWiki Platform posiada podatność, która pozwala na zdalne wykonanie kodu przez atakującego z prawami edycji na wiki. Wykorzystuje ona lukę w harmonogramie zadań oraz problem z autoryzacją autora treści skryptu. Ta podatność została załatana w wersjach XWiki 14.10.9 i 15.4RC1.
- CVE-2023-40572Krytyczne
Platforma XWiki jest podatna na atak CSRF w akcji tworzenia, co pozwala na wykonanie zdalnego kodu przez użytkowników z odpowiednimi uprawnieniami. W przypadku, gdy użytkownik z prawem do skryptów zobaczy określony komunikat w logach, instalacja XWiki jest zagrożona.
- CVE-2023-40177Krytyczne
XWiki Platform umożliwia zarejestrowanym użytkownikom wykonywanie dowolnych skryptów w polu treści swojej strony profilu, co prowadzi do eskalacji uprawnień. Problem ten występuje od wersji 4.3M2, kiedy dodano wsparcie dla pola treści w aplikacji AppWithinMinutes.
- CVE-2023-40176Krytyczne
XWiki Platform zawiera podatność na przechowywane XSS, która może być wykorzystana przez zarejestrowanych użytkowników poprzez ustawienie złośliwego ładunku w preferencjach strefy czasowej. Mimo że strefa czasowa jest wybierana z rozwijanej listy, można ją ustawić za pomocą JavaScript lub odpowiedniego URL-a.
- CVE-2023-37914Krytyczne
XWiki Platform umożliwia użytkownikom, którzy mogą przeglądać `Invitation.WebHome`, wykonywanie dowolnych makr skryptowych, w tym Groovy i Python, co prowadzi do zdalnego wykonania kodu. Ta podatność pozwala na nieograniczony dostęp do odczytu i zapisu wszystkich treści wiki.
- CVE-2023-37462Krytyczne
Platforma XWiki ma lukę, która wynika z niewłaściwego escapowania w dokumencie `SkinsCode.XWikiSkinsSheet`. Umożliwia to atakującym wykonanie dowolnych makr skryptowych, w tym Groovy i Python, co prowadzi do zdalnego wykonania kodu oraz nieograniczonego dostępu do zawartości wiki.
- CVE-2023-37277Krytyczne
XWiki Platform posiada podatność, która umożliwia zdalne wykonanie kodu poprzez atak typu cross-site request forgery (CSRF) przy użyciu REST API. Wykorzystanie tej luki przez użytkownika z uprawnieniami programistycznymi może wpłynąć na integralność, dostępność i poufność całej instalacji XWiki.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. By either creating a new or editing an existing document with an icon set, an attacker can inject XWiki syntax and Velocity code that is executed with programming rights and thus allows remote code execution. There are different attack vectors, the simplest is the Velocity code in the icon set's HTML or XWiki syntax definition. The [icon picker](https://extensions.xwiki.org/xwiki/bin/view/Extension/Icon%20Theme%20Application#HIconPicker) can be used to trigger the rendering of any icon set. The XWiki syntax variant of the icon set is also used without any escaping in some documents, allowing to inject XWiki syntax including script macros into a document that might have programming right, for this the currently used icon theme needs to be edited. Further, the HTML output of the icon set is output as JSON in the icon picker and this JSON is interpreted as XWiki syntax, allowing again the injection of script macros into a document with programming right and thus allowing remote code execution. This impacts the confidentiality, integrity and availability of the whole XWiki instance. This issue has been patched in XWiki 14.10.6 and 15.1. Icon themes now require script right and the code in the icon theme is executed within the context of the icon theme, preventing any rights escalation. A macro for displaying icons has been introduced to avoid injecting the raw wiki syntax of an icon set into another document. Users are advised to upgrade. There are no known workarounds for this vulnerability.