中危 XWiki 平台将 cookie 发送到渲染差异中的外部图像，并且容易受到服务器端请求伪造的攻击 (CVE-2023-48240)
CVE编号
CVE-2023-48240利用情况
暂无补丁情况
官方补丁披露时间
2023-11-21漏洞描述
XWiki平台是一个通用的wiki平台。在XWiki中的渲染差异中嵌入图像以比较内容，并且不显示实际未更改的图像差异。为此，XWiki会在服务器端请求所有嵌入的图像。这些请求也会发送到其他域中的图像，并包括原始请求中发送的所有cookie，以确保可以比较具有受限查看权限的图像。从版本11.10.1开始，并在版本14.10.15、15.5.1和15.6之前，这使得攻击者可以窃取登录和会话cookie，并且可以冒充查看差异的当前用户。攻击可以通过引用渲染的差异的图像来触发，从而很容易触发。除了窃取登录cookie外，这还允许服务器端请求伪造（任何成功请求的结果都会返回到图像的来源）和查看受保护的内容，因为一旦一个资源被缓存，它就会被返回给所有用户。由于只会缓存成功的请求，因此缓存将会被第一个被允许访问资源的用户填满。这在XWiki 14.10.15、15.5.1和15.6中已修补。现在，渲染的差异只会从受信任的域中下载图像。此外，只有当图像的域与请求的域相同时才会发送cookie。缓存已更改为针对每个用户。作为一种解决方法，可以通过删除`WEB-INF/lib/`中的`xwiki-platform-diff-xml-<version>.jar`来禁用图像嵌入功能。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 远程
- 攻击复杂度 容易
- 权限要求 无需权限
- 影响范围 全局影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论