[TLP:CLEAR] XWiki opravuje 12 zraniteľností, z toho je 10 kritických

XWiki verziami 14.10.20, 15.5.4 a 15.10-rc-1 opravuje 12 zraniteľností, pričom 10 z nich je kritických. Postup na overenie zraniteľnosti vašej inštancie je možné nájsť v odkaze pri každej zraniteľnosti.

XWiki - unathorized access (CVE-2024-31985 )
CVSS 5.4 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene zasahovať do plánovača úloh. Pre zneužitie zraniteľnosti je potrebná interakcia admina [1].

Zraniteľnosť sa nachádza v produkte:

  • Xwiki; >= 3.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31984 )
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu názvu priestoru je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [2].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 7.2-rc-1, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31983)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [3].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 4.3-milestone-2, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31982)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [4].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 2.4-milestone-1, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - privilege escalation (CVE-2024-31981)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi je umožnené získať programovacie práva [5].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 3.0.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31465)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu akejkoľvek stránky je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [6].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 5.2-milestone-2, < 14.10.20; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - information leak (CVE-2024-31464)
CVSS 6.8 (Medium)

Autentizovanému vzdialenému útočníkovi s právami na editovanie stránok používateľov je umožnené za určitých okolností zobrazovať hash hesla týchto používateľov [7].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 5.0-rc-1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31997)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu akéhokoľvek dokumentu je umožnené neoprávnene vykonávať ľubovolný kód, čo by spôsobilo kompromitáciu celej inštancie [8].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31996)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať ľubovolný kód, čo by spôsobilo kompromitáciu celej inštancie [9].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 3.0.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31988)
CVSS 9.6 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať ľubovolný Groovy/Python kód, čo by spôsobilo kompromitáciu celej inštancie. Pre zneužitie zraniteľnosti je potrebné mať v XWiki nainštalovaný editor na editovanie v reálnom čase a taktiež je potrebná interakcia administrátora [10].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 13.9-rc-1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31987)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu akejkoľvek stránky je umožnené spúšťať ľubovolný kód, čo by spôsobilo kompromitáciu celej inštancie [11].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 6.4-milestone-1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.10-rc-1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31986)
CVSS 9.0 (Critical)

Autentizovanému vzdialenému útočníkovi je umožnené vytvorením dokumentu so špeciálne vytvorenými referenciami spúšťať ľubovolný kód. Pre zneužitie zraniteľnosti je potrebná interakcia administrátora [12].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 3.1, < 14.10.19; >= 15.0-rc-1, < 15.5.4; >= 15.6-rc-1, < 15.9;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 11. 4. 2024.

CESNET, z.s.p.o. Logo