BDU:2024-05288

Опубликовано: 26 окт. 2023

Источник: fstec

CVSS3: 9.9

CVSS2: 9

EPSS Средний

Описание

Уязвимость платформы создания совместных веб-приложений XWiki Platform XWiki связана с непринятием мер по нейтрализации инструкций в динамически исполняемом коде. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

XWiki Platform

Версия ПО

от 7.2-rc-1 до 14.10.20 (XWiki Platform)

от 15.0-rc-1 до 15.5.4 (XWiki Platform)

от 15.6-rc-1 до 15.10-rc-1 (XWiki Platform)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование систем обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости;

- использование межсетевого экрана уровня приложений (WAF) для фильтрации пользовательского ввода;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://jira.xwiki.org/browse/XWIKI-21471

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-31984
CVE

EPSS

Процентиль: 98%

0.66038

Средний

9.9 Critical

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2024-31984

CVSS3: 9.9

nvd

почти 2 года назад

XWiki Platform is a generic wiki platform. Starting in version 7.2-rc-1 and prior to versions 4.10.20, 15.5.4, and 15.10-rc-1, by creating a document with a specially crafted title, it is possible to trigger remote code execution in the (Solr-based) search in XWiki. This allows any user who can edit the title of a space (all users by default) to execute any Groovy code in the XWiki installation which compromises the confidentiality, integrity and availability of the whole XWiki installation. This has been patched in XWiki 14.10.20, 15.5.4 and 15.10 RC1. As a workaround, manually apply the patch to the `Main.SolrSpaceFacet` page.

GHSA-xm4h-3jxr-m3c6

CVSS3: 9.9

github

почти 2 года назад

XWiki Platform: Remote code execution through space title and Solr space facet

EPSS

Процентиль: 98%

0.66038

Средний

9.9 Critical

CVSS3

9 Critical

CVSS2