CVE-2023-37277 in XWiki
Riassunto
di VulDB • 24/07/2026
XWiki Platform è una piattaforma wiki generica che offre servizi di runtime per applicazioni costruite sopra di essa. L'API REST consente l'esecuzione di tutte le azioni tramite richieste POST e accetta `text/plain`, `multipart/form-data` o `application/www-form-urlencoded` come tipi di contenuto, che possono essere inviati tramite moduli HTML standard, consentendo così attacchi CSRF (Cross-Site Request Forgery). Con l'interazione di un utente dotato di diritti di programmazione, ciò consente l'esecuzione remota di codice attraverso macro script e compromette quindi l'integrità, la disponibilità e la riservatezza dell'intera installazione XWiki. Per l'autenticazione basata su cookie standard, la vulnerabilità è mitigata dalle restrizioni SameSite dei cookie; tuttavia, a partire da marzo 2023, queste non sono abilitate di default in Firefox e Safari. La vulnerabilità è stata risolta nelle versioni XWiki 14.10.8 e 15.2 richiedendo un header CSRF token per determinati tipi di richieste suscettibili ad attacchi CSRF.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.