CVE-2023-40573
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
XWiki Platform posiada podatność, która pozwala na zdalne wykonanie kodu przez atakującego z prawami edycji na wiki. Wykorzystuje ona lukę w harmonogramie zadań oraz problem z autoryzacją autora treści skryptu. Ta podatność została załatana w wersjach XWiki 14.10.9 i 15.4RC1.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. Atakujący z prawami edycji mogą wykorzystać tę lukę do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację do wersji XWiki 14.10.9 lub 15.4RC1, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników w celu ograniczenia możliwości edycji.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. XWiki supports scheduled jobs that contain Groovy scripts. Currently, the job checks the content author of the job for programming right. However, modifying or adding a job script to a document doesn't modify the content author. Together with a CSRF vulnerability in the job scheduler, this can be exploited for remote code execution by an attacker with edit right on the wiki. If the attack is successful, an error log entry with "Job content executed" will be produced. This vulnerability has been patched in XWiki 14.10.9 and 15.4RC1.