[TLP:CLEAR] XWiki opravuje 12 zraniteľností, z toho je 10 kritických

XWiki verziami 14.10.20, 15.5.4 a 15.10-rc-1 opravuje 12 zraniteľností, pričom 10 z nich je kritických. Postup na overenie zraniteľnosti vašej inštancie je možné nájsť v odkaze pri každej zraniteľnosti.

XWiki - RCE (CVE-2024-31997) CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu akéhokoľvek dokumentu je umožnené neoprávnene vykonávať ľubovolný kód, čo by spôsobilo kompromitáciu celej inštancie [1].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (<14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.9-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31988) CVSS 9.7 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať ľubovolný Groovy/Python kód, čo by spôsobilo kompromitáciu celej inštancie. Pre zneužitie zraniteľnosti je potrebné mať v XWiki nainštalovaný editor na editovanie v reálnom čase a taktiež je potrebná interakcia administrátora [2].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=13.9-rc-1 AND <14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.9)

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - privilege escalation (CVE-2024-31981) CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi je umožnené získať programovacie práva [3].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=3.0.1 AND <14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.9)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - unathorized access (CVE-2024-31985 ) CVSS 5.4 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene zasahovať do plánovača úloh. Pre zneužitie zraniteľnosti je potrebná interakcia admina [4].

Zraniteľnosť sa nachádza v produkte Xwiki vo verziách (>=3.1 AND <14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.9)

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31996) CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať ľubovolný kód, čo by spôsobilo kompromitáciu celej inštancie [5].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=3.0.1 AND <14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.9-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31986) CVSS 9.0 (Critical)

Autentizovanému vzdialenému útočníkovi je umožnené vytvorením dokumentu so špeciálne vytvorenými referenciami spúšťať ľubovolný kód. Pre zneužitie zraniteľnosti je potrebná interakcia administrátora [6].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=3.1 AND <14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.9)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - information leak (CVE-2024-31464) CVSS 6.8 (Medium)

Autentizovanému vzdialenému útočníkovi s právami na editovanie stránok používateľov je umožnené za určitých okolností zobrazovať hash hesla týchto používateľov [7].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=5.0-rc-1 AND <14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.9-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31465) CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu akejkoľvek stránky je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [8].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=5.2-milestone-2 AND <14.10.20) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.10-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31987) CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu akejkoľvek stránky je umožnené spúšťať ľubovolný kód, čo by spôsobilo kompromitáciu celej inštancie [9].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=6.4-milestone-1 AND <14.10.19) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.10-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31984 ) CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu názvu priestoru je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [10].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=7.2-rc-1 AND <14.10.20) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.10-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31982) CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [11].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=2.4-milestone-1 AND <14.10.20) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.10-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

XWiki - RCE (CVE-2024-31983) CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s právami na editáciu je umožnené neoprávnene vykonávať ľubovolný Groovy kód, čo by spôsobilo kompromitáciu celej inštancie [12].

Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=4.3-milestone-2 AND <14.10.20) OR (>=15.0-rc-1 AND <15.5.4) OR (>=15.6-rc-1 AND <15.10-rc-1)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 4. 2024.

Publikoval Martin Krajči dňa 11. 4. 2024.

CESNET CERTS Logo