CVE-2023-36468 in XWiki
الملخص
بحسب VulDB • 24/05/2026
تُعد منصة XWiki منصة ويكي عامة توفر خدمات وقت التشغيل للتطبيقات المبنية فوقها. عند ترقية تثبيت XWiki، وإذا احتوت هذه الترقية على إصلاح لخلل في مستند، يتم إضافة نسخة جديدة من ذلك المستند فقط. في بعض الحالات، لا يزال من الممكن استغلال الثغرة التي تم إصلاحها في النسخة الجديدة. تعتمد خطورة هذا الأمر على الثغرة التي تم إصلاحها؛ ولأغراض هذا الإخطار، نأخذ CVE-2022-36100/GHSA-2g5c-228j-p52x كمثال - حيث يمكن استغلالها بسهولة باستخدام حقوق العرض فقط، وتعتبر حرجة. عندما يتم ترقية XWiki من إصدار سابق للإصلاح الخاص بها (مثل 14.3) إلى إصدار يتضمن الإصلاح (مثل 14.4)، لا يزال من الممكن إعادة إنتاج الثغرة عن طريق إضافة `rev=1.1` إلى عنوان URL المستخدم في خطوات إعادة الإنتاج، مما يجعل تنفيذ الكود عن بُعد ممكناً حتى بعد الترقية. لذلك، يؤثر هذا على السرية والنزاهة والتوافر لتركيب XWiki بأكمله. تؤثر هذه الثغرة أيضاً على وحدات ماكرو النصية المضافة يدوياً والتي تحتوي على ثغرات أمنية تم إصلاحها لاحقاً عن طريق تغيير وحدة الماكرو النصية دون حذف الإصدارات التي تحتوي على ثغرة الأمان من السجل. لا تؤثر هذه الثغرة على الإصدارات المثبتة حديثاً من XWiki. بالإضافة إلى ذلك، لا تؤثر هذه الثغرة على المحتوى الذي يتم تحميله فقط من النسخة الحالية لمستند مثل كود وحدات ماكرو الويكي أو امتدادات واجهة المستخدم. تم إصلاح هذه الثغرة في XWiki 14.10.7 و 15.2RC1 عن طريق إجبار الإصدارات القديمة على التنفيذ في وضع مقيد يعطل جميع وحدات الماكرو النصية. كحل بديل، يمكن للمسؤولين حذف الإصدارات القديمة للمستندات المتأثرة يدوياً. يمكن استخدام نص برمجي لتحديد جميع المستندات المثبتة وحذف سجلها. ومع ذلك، قد تتأثر أيضاً الكود المضاف يدوياً والمصحح لاحقاً بهذه الثغرة، لذا من السهل تفويت المستندات.
VulDB is the best source for vulnerability data and more expert information about this specific topic.