Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] XWiki opravuje 2 zranitelnosti
XWiki verzemi 16.10.1, 16.4.6 a 15.10.16 opravuje 2 zranitelnosti [1][2].
Autentizovaný vzdálený útočník s oprávněním SCRIPT může provést SQL injection útok, čímž může získat přístup k citlivým údajům, jako jsou hashe hesel. V závislosti na použité databázi může útočník potenciálně hashe hesel také měnit. PoC lze nalézt na [1].
Zranitelnost se nachází v produktu:
- XWiki; >=1.6, <15.10.16; >=16.4, <16.4.6; >=16.10, <16.10.1;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Více informací:
- CVE-2025-32968 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 4. 2025.
Neautentizovaný vzdálený útočník může s využitím REST API provést SQL injection útok, čímž může získat přístup k citlivým údajům, jako jsou hashe hesel, a to i v případě, že byl neautentizovaným uživatelům omezen přístup k zobrazování a editaci webových stránek. V závislosti na použité databázi může útočník potenciálně hashe hesel také měnit. PoC lze nalézt na [2].
Zranitelnost se nachází v produktu:
- XWiki; >=1.8, <15.10.16; >=16.4, <16.4.6; >=16.10, <16.10.1;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Více informací:
- CVE-2025-32969 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 4. 2025.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 25. 4. 2025.