Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi so SCRIPT oprávnením je umožnené vykonať SQL injection útok, čím môže získať prístup k citlivým údajom, ako sú hashe hesiel. V závislosti od použitej databázy je útočníkovi potenciálne umožnené hashe hesiel aj meniť. PoC je možné nájsť na [1].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=1.6, <15.10.16; >=16.4, <16.4.6; >=16.10, <16.10.1;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2025-32968 na cve.org, NVD
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 4. 2025.

Neautentizovanému vzdialenému útočníkovi je s využitím REST API umožnené vykonať SQL injection útok, čím môže získať prístup k citlivým údajom, ako sú hashe hesiel, a to aj v prípade, že bol obmedzený prístup neautentizovaným používateľom k zobrazovaniu a editácii web stránok. V závislosti od použitej databázy je útočníkovi potenciálne umožnené hashe hesiel aj meniť. PoC je možné nájsť na [2].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=1.8, <15.10.16; >=16.4, <16.4.6; >=16.10, <16.10.1;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2025-32969 na cve.org, NVD
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 4. 2025.