CVE-2023-37462
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Platforma XWiki ma lukę, która wynika z niewłaściwego escapowania w dokumencie `SkinsCode.XWikiSkinsSheet`. Umożliwia to atakującym wykonanie dowolnych makr skryptowych, w tym Groovy i Python, co prowadzi do zdalnego wykonania kodu oraz nieograniczonego dostępu do zawartości wiki.
Ocena ryzyka
Organizacje korzystające z XWiki są narażone na poważne ryzyko, w tym możliwość zdalnego wykonania kodu i nieautoryzowanego dostępu do danych. Atakujący mogą wykorzystać tę lukę do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację do wersji XWiki 14.4.8, 14.10.4 lub 15.0-rc-1. Użytkownicy, którzy nie mogą przeprowadzić aktualizacji, powinni ręcznie załatać dokument `SkinsCode.XWikiSkinsSheet` zgodnie z dostarczonymi instrukcjami.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Improper escaping in the document `SkinsCode.XWikiSkinsSheet` leads to an injection vector from view right on that document to programming rights, or in other words, it is possible to execute arbitrary script macros including Groovy and Python macros that allow remote code execution including unrestricted read and write access to all wiki contents. The attack works by opening a non-existing page with a name crafted to contain a dangerous payload. It is possible to check if an existing installation is vulnerable. See the linked GHSA for instructions on testing an installation. This issue has been patched in XWiki 14.4.8, 14.10.4 and 15.0-rc-1. Users are advised to upgrade. The fix commit `d9c88ddc` can also be applied manually to the impacted document `SkinsCode.XWikiSkinsSheet` and users unable to upgrade are advised to manually patch their installations.