جزئیات آسیب‌پذیری

CVE-2024-55662

xwiki xwiki-platform

XWiki allows remote code execution through the extension sheet

CVSS 3.1

10.0بحرانی

شرح رسمی (انگلیسی)

XWiki Platform is a generic wiki platform. Starting in version 3.3-milestone-1 and prior to versions 15.10.9 and 16.3.0, on instances where `Extension Repository Application` is installed, any user can execute any code requiring `programming` rights on the server. This vulnerability has been fixed in XWiki 15.10.9 and 16.3.0. Since `Extension Repository Application` is not mandatory, it can be safely disabled on instances that do not use it as a workaround. It is also possible to manually apply the patches from commit 8659f17d500522bf33595e402391592a35a162e8 to the page `ExtensionCode.ExtensionSheet` and to the page `ExtensionCode.ExtensionAuthorsDisplayer`.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
10.0بحرانی	3.1	CVEProject cvelistV5 (CNA) (GitHub_M)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
xwiki	xwiki-platform	>= 16.0.0-rc-1, < 16.3.0	CVEProject cvelistV5 (CNA)
xwiki	xwiki-platform	>= 3.3-milestone-1, < 15.10.9	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-j2pq-22jj-4pm5 x_refsource_CONFIRM
https://github.com/xwiki/xwiki-platform/commit/8659f17d500522bf33595e402391592a35a162e8 x_refsource_MISC
https://jira.xwiki.org/browse/XWIKI-21890 x_refsource_MISC

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۳/۰۹/۲۲
آخرین به‌روزرسانی: ۱۴۰۳/۰۹/۲۳
وضعیت: منتشرشده
صادرکننده (CNA): GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۷۸٪

احتمال بهره‌برداری در ۳۰ روز

۵۶٫۲٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: اثبات مفهوم
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-96
Improper Neutralization of Directives in Statically Saved Code ('Static Code Injection')
CWE-863
Incorrect Authorization