Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] XWiki opravuje 12 zranitelností, z toho 10 kritických

XWiki verzemi 14.10.20, 15.5.4 a 15.10-rc-1 opravuje 12 zranitelností, přičemž 10 z nich je kritických. Postup pro ověření zranitelnosti vaší instance lze nalézt v odkazu u každé zranitelnosti.

XWiki - neoprávněný přístup (CVE-2024-31985 )
CVSS 5.4 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně zasahovat do plánovače úloh. Pro zneužití zranitelnosti je nutná interakce admina [1].

Zranitelnost se nachází v produktu:

  • Xwiki; >= 3.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31984 )
CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi s právy k editaci názvu prostoru je umožněno neoprávněně provádět libovolný Groovy kód, což by způsobilo kompromitaci celé instance [2].

Zranitelnost se nachází v produktu:

  • XWiki; >= 7.2-rc-1, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31983)
CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi s právy k editaci je umožněno neoprávněně provádět libovolný Groovy kód, což by způsobilo kompromitaci celé instance [3].

Zranitelnost se nachází v produktu:

  • XWiki; >= 4.3-milestone-2, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31982)
CVSS 10.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně provádět libovolný Groovy kód, což by způsobilo kompromitaci celé instance [4].

Zranitelnost se nachází v produktu:

  • XWiki; >= 2.4-milestone-1, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - eskalace oprávnění (CVE-2024-31981)
CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi je umožněno získat programovací práva [5].

Zranitelnost se nachází v produktu:

  • XWiki; >= 3.0.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31465)
CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi s právy k editaci libovolné stránky je umožněno neoprávněně provádět libovolný Groovy kód, což by způsobilo kompromitaci celé instance [6].

Zranitelnost se nachází v produktu:

  • XWiki; >= 5.2-milestone-2, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - únik informací (CVE-2024-31464)
CVSS 6.8 (Medium)

Autentizovanému vzdálenému útočníkovi s právy k editaci stránek uživatelů je umožněno za určitých okolností zobrazovat hash hesla těchto uživatelů [7].

Zranitelnost se nachází v produktu:

  • XWiki; >= 5.0-rc-1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31997)
CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi s právy k editaci libovolného dokumentu je umožněno neoprávněně provádět libovolný kód, což by způsobilo kompromitaci celé instance [8].

Zranitelnost se nachází v produktu:

  • XWiki; < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31996)
CVSS 10.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně provádět libovolný kód, což by způsobilo kompromitaci celé instance [9].

Zranitelnost se nachází v produktu:

  • XWiki; >= 3.0.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31988)
CVSS 9.6 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně provádět libovolný Groovy/Python kód, což by způsobilo kompromitaci celé instance. Pro zneužití zranitelnosti je nutné mít v XWiki nainstalovaný editor pro editaci v reálném čase a také je nutná interakce administrátora [10].

Zranitelnost se nachází v produktu:

  • XWiki; >= 13.9-rc-1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31987)
CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi s právy k editaci libovolné stránky je umožněno spouštět libovolný kód, což by způsobilo kompromitaci celé instance [11].

Zranitelnost se nachází v produktu:

  • XWiki; >= 6.4-milestone-1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

XWiki - RCE (CVE-2024-31986)
CVSS 9.0 (Critical)

Autentizovanému vzdálenému útočníkovi je umožněno vytvořením dokumentu se speciálně vytvořenými referencemi spouštět libovolný kód. Pro zneužití zranitelnosti je nutná interakce administrátora [12].

Zranitelnost se nachází v produktu:

  • XWiki; >= 3.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 4. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 11. 4. 2024.

CESNET, z.s.p.o. Logo