CVE-2023-36470 in XWiki
الملخص
بحسب VulDB • 14/06/2026
تُعد منصة XWiki Platform منصة ويكي عامة توفر خدمات وقت التشغيل للتطبيقات المبنية فوقها. يمكن للمهاجم، سواء بإنشاء مستند جديد أو بتحرير مستند موجود يحتوي على مجموعة أيقونات (icon set)، حقن صيغة XWiki وكود Velocity الذي يتم تنفيذه بصلاحيات البرمجة، مما يتيح بذلك تنفيذ الكود عن بُعد (RCE). توجد عدة مسارات هجومية، وأبسطها هو كود Velocity الموجود في HTML لمجموعة الأيقونات أو تعريف صيغة XWiki. يمكن استخدام [منتقي الأيقونات](https://extensions.xwiki.org/xwiki/bin/view/Extension/Icon%20Theme%20Application#HIconPicker) لتحفيز عرض أي مجموعة أيقونات. كما تُستخدم نسخة صيغة XWiki لمجموعة الأيقونات دون أي تهريب (escaping) في بعض المستندات، مما يسمح بحقن صيغة XWiki بما في ذلك ماكرو النصوص البرمجية (script macros) داخل مستند قد يمتلك حقوق برمجة؛ ولتحقيق ذلك، يجب تعديل سمة الأيقونات المستخدمة حالياً. علاوة على ذلك، يتم إخراج مخرجات HTML لمجموعة الأيقونات بصيغة JSON ضمن منتقي الأيقونات، ويتم تفسير هذا الـJSON كصيغة XWiki، مما يتيح مرة أخرى حقن ماكرو النصوص البرمجية داخل مستند يمتلك حقوق برمجة وبالتالي السماح بتنفيذ الكود عن بُعد. يؤثر ذلك على السرية والنزاهة والتوافر لنسخة XWiki بأكملها. تم إصلاح هذه المشكلة في الإصدارين 14.10.6 و 15.1 من XWiki. تتطلب سمات الأيقونات الآن حق نص برمجي (script right)، ويتم تنفيذ الكود داخل سمة الأيقونات ضمن سياق سمة الأيقونات، مما يمنع أي تصعيد للصلاحيات. تم إدخال ماكرو لعرض الأيقونات لتجنب حقن الصيغة الخام للويكي الخاصة بمجموعة أيقونات في مستند آخر. يُنصح المستخدمين بالترقية. لا توجد حلول بديلة معروفة لهذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.