Podatności XWiki Platform

Podatność w XWiki Platform w wersjach od 15.10.6 do przed 18.1.0-rc-1, 17.10.3, 17.4.9 i 16.10.17. API POST /wikis/{wikiName} wykonuje import XAR bez sprawdzania uwierzytelnienia lub autoryzacji, umożliwiając nieuwierzytelnionemu atakującemu tworzenie lub aktualizację dokumentów w docelowej wiki.

Podatność w XWiki Platform umożliwia odczyt plików konfiguracyjnych poprzez manipulację parametrem resource w endpointach ssx i jsx, co prowadzi do Path Traversal. Luka występuje w wersjach przed 18.1.0-rc-1, 17.10.3, 17.4.9 i 16.10.17.

XWiki Platform to platforma wiki. Przed wersjami 17.4.8 i 17.10.1 nieprawidłowo chronione API skryptowe pozwala użytkownikowi z prawem skryptu na ominięcie sandboxa Velocity i wykonanie dowolnych skryptów Python, co prowadzi do pełnego dostępu do instancji XWiki.

XWiki Platform posiada podatność, która pozwala na zdalne wykonanie kodu przez atakującego z prawami edycji na wiki. Wykorzystuje ona lukę w harmonogramie zadań oraz problem z autoryzacją autora treści skryptu. Ta podatność została załatana w wersjach XWiki 14.10.9 i 15.4RC1.

Platforma XWiki jest podatna na atak CSRF w akcji tworzenia, co pozwala na wykonanie zdalnego kodu przez użytkowników z odpowiednimi uprawnieniami. W przypadku, gdy użytkownik z prawem do skryptów zobaczy określony komunikat w logach, instalacja XWiki jest zagrożona.

XWiki Platform umożliwia zarejestrowanym użytkownikom wykonywanie dowolnych skryptów w polu treści swojej strony profilu, co prowadzi do eskalacji uprawnień. Problem ten występuje od wersji 4.3M2, kiedy dodano wsparcie dla pola treści w aplikacji AppWithinMinutes.

XWiki Platform zawiera podatność na przechowywane XSS, która może być wykorzystana przez zarejestrowanych użytkowników poprzez ustawienie złośliwego ładunku w preferencjach strefy czasowej. Mimo że strefa czasowa jest wybierana z rozwijanej listy, można ją ustawić za pomocą JavaScript lub odpowiedniego URL-a.

XWiki Platform umożliwia użytkownikom, którzy mogą przeglądać `Invitation.WebHome`, wykonywanie dowolnych makr skryptowych, w tym Groovy i Python, co prowadzi do zdalnego wykonania kodu. Ta podatność pozwala na nieograniczony dostęp do odczytu i zapisu wszystkich treści wiki.

Platforma XWiki ma lukę, która wynika z niewłaściwego escapowania w dokumencie `SkinsCode.XWikiSkinsSheet`. Umożliwia to atakującym wykonanie dowolnych makr skryptowych, w tym Groovy i Python, co prowadzi do zdalnego wykonania kodu oraz nieograniczonego dostępu do zawartości wiki.

XWiki Platform posiada podatność, która umożliwia zdalne wykonanie kodu poprzez atak typu cross-site request forgery (CSRF) przy użyciu REST API. Wykorzystanie tej luki przez użytkownika z uprawnieniami programistycznymi może wpłynąć na integralność, dostępność i poufność całej instalacji XWiki.

XWiki Platform umożliwia atakującym wstrzykiwanie składni XWiki i kodu Velocity poprzez edytowanie dokumentów z zestawem ikon, co prowadzi do zdalnego wykonania kodu. Różne wektory ataku, w tym wykorzystanie zestawu ikon w HTML, mogą być użyte do przeprowadzenia ataku.

XWiki Platform pozwala użytkownikom edytować swoje profile i ustawienia powiadomień, co umożliwia wykonanie dowolnych makr skryptowych, w tym Groovy i Python, prowadzących do zdalnego wykonania kodu. Wersje 14.10.6 i 15.2RC1 zawierają poprawki tej podatności.

Podatność w XWiki Platform umożliwia zdalne wykonanie kodu nawet po aktualizacji do wersji zawierającej poprawki. Problem występuje, gdy stare wersje dokumentów, które zawierały luki, nie są usuwane z historii, co pozwala na ich ponowne wykorzystanie.

XWiki Platform zawiera podatność na atak typu XSS, umożliwiającą wstrzyknięcie kodu JavaScript poprzez sfałszowany URL. Można to wykorzystać za pomocą szablonu previewactions, co prowadzi do potencjalnego wykonania nieautoryzowanego kodu na stronie.

XWiki Platform umożliwia użytkownikom fałszowanie adresów URL z ładunkiem, co pozwala na wstrzykiwanie JavaScriptu na stronę (XSS). Można wykorzystać stronę DeleteApplication do przeprowadzenia ataku XSS za pomocą odpowiednio skonstruowanego URL.

XWiki Platform zawiera podatność na atak XSS, umożliwiając użytkownikom wstrzykiwanie kodu JavaScript poprzez sfałszowane URL-e. Wykorzystanie szablonu ponownego przesyłania pozwala na wykonanie złośliwego kodu, co może prowadzić do ujawnienia danych użytkowników.

XWiki Platform umożliwia użytkownikom fałszowanie adresów URL z ładunkiem, co pozwala na wstrzykiwanie JavaScriptu na stronę (XSS). Można wykorzystać szablon deletespace do przeprowadzenia ataku XSS, na przykład używając adresu URL: > xwiki/bin/deletespace/Sandbox/?xredirect=javascript:alert(document.domain).

Platforma XWiki ma podatność umożliwiającą wstrzyknięcie kodu JavaScript (XSS) poprzez sfałszowany URL. Użytkownicy mogą wykorzystać szablon przywracania do przeprowadzenia ataku XSS, co może prowadzić do nieautoryzowanego dostępu do danych.

XWiki Platform zawiera podatność na atak XSS, umożliwiając użytkownikom wstrzykiwanie kodu JavaScript poprzez sfałszowany URL. Wykorzystanie szablonu usuwania pozwala na przeprowadzenie ataku XSS, co może prowadzić do nieautoryzowanego dostępu do danych użytkowników.

W platformie XWiki występuje podatność na przechowywane ataki typu cross-site scripting (XSS), która może być wykorzystana przez użytkowników z prawami edycji. Wersje od 5.4.4 do przed 14.4.8, 14.10.4 i 15.0 są narażone na tę lukę.

XWiki Platform, od wersji 12.9-rc-1 do 14.4.8, 14.10.6 i 15.1, pozwala zalogowanym użytkownikom na dodawanie niebezpiecznych treści w polu imienia, co prowadzi do eskalacji uprawnień. Podatność została naprawiona w wersjach 14.4.8, 14.10.6 i 15.1.

XWiki Platform, popularna platforma wiki, ma lukę, która pozwala użytkownikom z prawami do przeglądania dokumentów na wykonanie kodu z prawami programistycznymi. Wersje od 2.40m-2 do przed 14.4.8, 14.10.4 i 15.0 są podatne na zdalne wykonanie kodu poprzez odpowiednio skonstruowany URL.

W XWiki Platform, od wersji 11.8-rc-1 do 14.4.8, 14.10.6 i 15.2, każdy zalogowany użytkownik może edytować konfigurację `Mail.MailConfig`. To pozwala na zmianę konfiguracji obfuskacji maili oraz przeglądanie i edytowanie ustawień wysyłania maili, w tym nazwy domeny SMTP i poświadczeń.

XWiki Platform w wersjach od 2.2.1 do 14.4.8, 14.10.5 oraz 15.1RC1 jest podatna na atak typu stored cross-site scripting (XSS). Użytkownicy mogą wprowadzać kod HTML do dokumentów, co pozwala na wykonanie nieautoryzowanych działań przez innych użytkowników, którzy odwiedzą te dokumenty.

XWiki Platform to ogólna platforma wiki, która umożliwia wykonywanie dowolnej zawartości wiki z uprawnieniami autora TipsPanel poprzez stworzenie rozszerzenia UI tip. Problem ten został naprawiony w wersjach XWiki 15.1-rc-1 oraz 14.10.5.

XWiki Platform ma podatność, która pozwala na odkrycie hashy haseł użytkowników bit po bicie poprzez zmodyfikowane parametry LiveTableResults, nawet po wcześniejszej poprawce.

W XWiki Platform istnieje możliwość wykonania kodu Velocity bez posiadania uprawnień skryptowych poprzez stworzenie XClass z właściwością typu 'TextArea' i typem zawartości 'VelocityCode' lub 'VelocityWiki'. W obu przypadkach kod jest wykonywany niezależnie od praw autora właściwości, co może prowadzić do nieautoryzowanego dostępu do danych i API.

Platforma XWiki jest ogólną platformą wiki, która oferuje usługi uruchomieniowe dla aplikacji zbudowanych na jej podstawie. Możliwe jest przeprowadzenie ataku XSS poprzez sfałszowanie żądania do akcji usunięcia załącznika z określoną nazwą załącznika.

XWiki Platform zawiera podatność typu XSS, która pozwala użytkownikom na wstrzykiwanie kodu JavaScript poprzez sfałszowane URL-e. Przykładowy URL może wykonać polecenie `alert` w przeglądarce, co może prowadzić do nieautoryzowanego dostępu do danych użytkownika.

XWiki Platform, od wersji 7.3-milestone-1 do wersji 14.4.8, 14.10.6 i 15.1, pozwala na dostęp do obfuskowanych haseł przez REST API, nawet gdy obfuskacja e-maili jest aktywna. Problem został naprawiony w wersjach 14.4.8, 14.10.6 i 15.1.

W platformie XWiki wystąpiła podatność związana z konfiguracją obfuskacji adresów e-mail. W wersjach od 3.5-milestone-1 do 14.4.8, 14.10.4 oraz 15.0-rc-1, odpowiedzi serwera zawierały nieobfuskowane adresy e-mail, co umożliwiało ich odczytanie przez użytkowników.

Platforma XWiki ma podatność, która pozwala na ujawnienie tagów z stron, które nie są widoczne dla bieżącego użytkownika, poprzez API tagów. Ta informacja może być wykorzystana do wnioskowania o odniesieniu do dokumentów, które są niedostępne dla użytkownika.