XWiki 平台 CSRF 通过实时 HTML 转换器 API 远程执行代码 (CVE-2024-31988)
CVE编号
CVE-2024-31988利用情况
暂无补丁情况
N/A披露时间
2024-04-11漏洞描述
XWiki Platform是一个通用的维基平台。在版本13.9-rc-1及之前的版本（包括4.10.19、15.5.4和15.10-rc-1之前的版本），当实时编辑器安装在XWiki中时，允许管理员用户与编程权限相互交互执行任意远程代码。更准确地说，通过让管理员用户访问一个精心构建的URL或查看包含此URL的图像（可能在评论中），攻击者可以引导管理员执行任意XWiki语法，包括使用Groovy或Python代码的脚本宏。这会危及整个XWiki安装的机密性、完整性和可用性。这个漏洞已在XWiki 14.10.19、15.5.4和15.9中修补。作为一种解决方法，可以手动更新`RTFrontend.ConvertHTML`来修补漏洞。然而，这会影响实时编辑器中的一些同步过程，因此升级应该是首选的方式，特别是在使用此编辑器的安装上。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 已更改
- 用户交互 需要
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论