BDU:2024-01253

Опубликовано: 19 апр. 2023

Источник: fstec

CVSS3: 9

CVSS2: 7.6

EPSS Средний

Описание

Уязвимость платформы создания совместных веб-приложений XWiki Platform XWiki существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

XWiki Platform

Версия ПО

до 13.10.11 (XWiki Platform)

от 14.0 до 14.4.8 (XWiki Platform)

от 14.5 до 14.10.2 (XWiki Platform)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/xwiki/xwiki-platform/commit/5e8725b4272cd3e5be09d3ca84273be2da6869c1

https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-3hjg-cghv-22ww

https://jira.xwiki.org/browse/XWIKI-20364

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-29519
CVE

EPSS

Процентиль: 95%

0.16098

Средний

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVE-2023-29519

CVSS3: 9

nvd

почти 3 года назад

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. A registered user can perform remote code execution leading to privilege escalation by injecting the proper code in the "property" field of an attachment selector, as a gadget of their own dashboard. Note that the vulnerability does not impact comments of a wiki. The vulnerability has been patched in XWiki 13.10.11, 14.4.8, 14.10.2, 15.0-rc-1. Users are advised to upgrade. There are no known workarounds for this vulnerability.

GHSA-3hjg-cghv-22ww

CVSS3: 8.8

github