Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] XWiki opravuje 5 zraniteľností
XWiki opravuje 5 zraniteľností, z toho 3 kritické. Opravy môžete nájsť v odkazoch pri jednotlivých zraniteľnostiach.
Autentizovanému vzdialenému útočníkovi je umožnené vydávať sa za autora obsahu, ktorý použil makro 'include' [1].
Zraniteľnosť sa nachádza v produkte:
- xwiki-platform; >=1.5-milestone-2, <15.0-rc-1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-38369 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 6. 2024.
Autentizovanému vzdialenému útočníkovi s právom editácie na ľubovoľnej stránke je umožnené vykonať ľubovoľné vzdialené spustenie kódu pridaním inštancií 'XWiki.SearchSuggestConfig' a 'XWiki.SearchSuggestSourceClass' do svojho používateľského profilu alebo inej stránky [2].
Zraniteľnosť sa nachádza v produkte:
- xwiki-platform; >=15.6-rc-1, <15.10.2; >=15.0-rc-1, <15.5.5; >=9.2-rc-1, <14.10.21;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-37901 na cve.org, NVD
- CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code na cwe.mitre.org
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 7. 2024.
Autentizovanému vzdialenému útočníkovi je umožnené spustiť fragmenty JavaScriptu na strane iného používateľa [3].
Zraniteľnosť sa nachádza v produkte:
- xwiki-platform; >=11.8-rc-1, <15.10.8; >=16.0.0-rc-1, <16.3.0-rc-1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-41947 na cve.org, NVD
- CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 7. 2024.
Autentizovanému vzdialenému útočníkovi je umožnené spustiť škodlivý JavaScriptový kód [4].
Zraniteľnosť sa nachádza v produkte:
- xwiki-platform; >=4.2-milestone-3, <14.10.21; >=15.0-rc-1, <15.5.5; >=15.6-rc-1, <15.10.6; >=16.0.0-rc-1, <16.0.0
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2024-37900 na cve.org, NVD
- CWE-96: Improper Neutralization of Directives in Statically Saved Code na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 7. 2024.
Autentizovanému vzdialenému útočníkovi s právom prezerať, ale nie upravovať stránku v XWiki je umožnené stránku zmazať a nahradiť ju novým obsahom [5].
Zraniteľnosť sa nachádza v produkte:
- xwiki-platform; >=13.10.4, <14.0-rc-1; >=14.2, <14.10.21; >=15.0, <15.5.5; >=15.6-rc-1, <15.10.6
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Viac informácií:
- CVE-2024-37898 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 7. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 5. 8. 2024.