CVE-2023-36469 in XWiki
Tóm tắt
Bởi VulDB • 03/06/2026
XWiki Platform là một nền tảng wiki tổng quát, cung cấp các dịch vụ thời gian chạy cho các ứng dụng được xây dựng trên nền tảng này. Bất kỳ người dùng nào có thể chỉnh sửa hồ sơ người dùng và cài đặt thông báo của riêng mình đều có thể thực thi các macro script tùy ý, bao gồm cả các macro Groovy và Python, cho phép thực thi mã từ xa (RCE), bao gồm quyền đọc và ghi không hạn chế đối với tất cả nội dung wiki. Lỗ hổng này đã được vá trong XWiki 14.10.6 và 15.2RC1. Người dùng được khuyến nghị cập nhật. Làm việc tạm thời, bản vá bảo mật chính có thể được áp dụng thủ công bằng cách vá tài liệu bị ảnh hưởng `XWiki.Notifications.Code.NotificationRSSService`. Điều này sẽ làm hỏng liên kết đến các thay đổi, mặc dù điều này yêu cầu các thay đổi bổ sung đối với các mẫu Velocity như được hiển thị trong bản vá. Trong khi mẫu mặc định có sẵn trong phiên bản và có thể dễ dàng được vá, thì mẫu cho các đề cập (mentions) được chứa trong một tệp `.jar` và do đó không thể được sửa chữa nếu không thay thế tệp jar đó.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.