CVE-2024-31984
XWiki Platform: Remote code execution through space title and Solr space facet
Em resumo
Uma falha no XWiki permite que qualquer usuário execute código malicioso editando o título de um espaço, recurso acessível a todos os usuários por padrão. Isso dá aos invasores controle total sobre toda a instalação XWiki.
Detalhe técnico
Uma vulnerabilidade de CWE-95 (falta de neutralização de diretivas em código avaliado dinamicamente) no mecanismo de busca Solr do XWiki permite execução remota de código através de títulos de espaço especialmente elaborados. Afeta versões 7.2-rc-1 até 15.10-rc-1 (excluindo versões corrigidas), requer apenas permissões de edição de título de espaço (padrão para todos os usuários), e permite execução de código Groovy arbitrário com privilégios completos do sistema.
Resumo gerado e traduzido por IA a partir da descrição oficial.
XWiki Platform is a generic wiki platform. Starting in version 7.2-rc-1 and prior to versions 4.10.20, 15.5.4, and 15.10-rc-1, by creating a document with a specially crafted title, it is possible to trigger remote code execution in the (Solr-based) search in XWiki. This allows any user who can edit the title of a space (all users by default) to execute any Groovy code in the XWiki installation which compromises the confidentiality, integrity and availability of the whole XWiki installation. This has been patched in XWiki 14.10.20, 15.5.4 and 15.10 RC1. As a workaround, manually apply the patch to the `Main.SolrSpaceFacet` page.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
xwiki · xwiki-platformQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →Referências
https://github.com/xwiki/xwiki-platform/commit/43c9d551e3c11e9d8f176b556dd33bbe31fc66e0https://github.com/xwiki/xwiki-platform/commit/5ef9d294d37be92ee22b2549e38663b29dce8767https://github.com/xwiki/xwiki-platform/commit/74e301c481e69eeea674dac7fed6af3614cf08c5https://github.com/xwiki/xwiki-platform/commit/94fc12db87c2431eb1335ecb9c2954b1905bde62https://github.com/xwiki/xwiki-platform/commit/acba74c149a041345b24dcca52c586f872ba97fbhttps://github.com/xwiki/xwiki-platform/commit/ef55105d6eeec5635fd693f0070c5aaaf3bdd940https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-xm4h-3jxr-m3c6https://jira.xwiki.org/browse/XWIKI-21471