CVE-2023-35150criticalCWE-95

XWiki Platform vulnerable to privilege escalation (PR) from view right via Invitation application

50Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.9epss 78%

probabilidade de exploração

78%top 1% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

Uma falha no aplicativo de Convites do XWiki permite que qualquer usuário com permissão de visualização execute código com privilégios de administrador ao criar uma URL maliciosa, podendo comprometer todo o sistema.

Detalhe técnico

Vulnerabilidade de CWE-95 (Neutralização Inadequada de Diretivas em Código Dinamicamente Avaliado) no aplicativo Invitation do XWiki permite escalação de privilégio de direitos de visualização para direitos de programação. Um atacante autenticado pode construir uma URL especialmente formatada para injetar e executar código arbitrário com privilégios elevados, alcançando execução remota de código. Versões afetadas: 2.40m-2 até 14.4.7, 14.10.3 e anteriores à 15.0.

Resumo gerado e traduzido por IA a partir da descrição oficial.

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Starting in version 2.40m-2 and prior to versions 14.4.8, 14.10.4, and 15.0, any user with view rights on any document can execute code with programming rights, leading to remote code execution by crafting an url with a dangerous payload. The problem has been patched in XWiki 15.0, 14.10.4 and 14.4.8.

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Produtos afetados

xwiki · xwiki-platform

Referências

https://github.com/xwiki/xwiki-platform/commit/b65220a4d86b8888791c3b643074ebca5c089a3a https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-6mf5-36v9-3h2w https://jira.xwiki.org/browse/XWIKI-20285