BDU:2024-01274

Опубликовано: 16 окт. 2023

Источник: fstec

CVSS3: 9.6

CVSS2: 10

EPSS Низкий

Описание

Уязвимость пакета com.xwiki.identity-oauth:identity-oauth-ui платформы создания совместных веб-приложений XWiki Platform XWiki связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга (XSS)

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Xwiki Oauth Identity

Версия ПО

от 1.0 до 1.6 (Xwiki Oauth Identity)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,6)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/xwikisas/identity-oauth/commit/d805d3154b17c6bf455ddf5deb0a3461a3833bc6

https://github.com/xwikisas/identity-oauth/commit/d805d3154b17c6bf455ddf5deb0a3461a3833bc6#diff-2ab2e0716443d790d7d798320e4a45151661f4eca5440331f4a227b29c87c188

https://github.com/xwikisas/identity-oauth/security/advisories/GHSA-h2rm-29ch-wfmh

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-45144
CVE

EPSS

Процентиль: 88%

0.04053

Низкий

9.6 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-45144

CVSS3: 10

nvd

больше 2 лет назад

com.xwiki.identity-oauth:identity-oauth-ui is a package to aid in building identity and service providers based on OAuth authorizations. When a user logs in via the OAuth method, the identityOAuth parameters sent in the GET request is vulnerable to cross site scripting (XSS) and XWiki syntax injection. This allows remote code execution via the groovy macro and thus affects the confidentiality, integrity and availability of the whole XWiki installation. The issue has been fixed in Identity OAuth version 1.6. There are no known workarounds for this vulnerability and users are advised to upgrade.

GHSA-h2rm-29ch-wfmh