中危 XWiki Rendering 的脚注宏容易通过脚注宏进行权限升级 (CVE-2023-37912)
CVE编号
CVE-2023-37912利用情况
暂无补丁情况
官方补丁披露时间
2023-10-26漏洞描述
XWiki Rendering是一个通用的渲染系统，将给定语法的文本输入转换为另一种语法。在`org.xwiki.platform:xwiki-core-rendering-macro-footnotes`和`org.xwiki.platform:xwiki-rendering-macro-footnotes`的14.10.6版本之前，以及`org.xwiki.platform:xwiki-rendering-macro-footnotes`的15.1-rc-1版本之前，脚注宏在可能与其定义的上下文不同的情况下执行其内容。特别是与include宏结合使用，这允许从XWiki的普通用户帐户升级为具有编程权限的帐户，从而导致远程代码执行，影响整个XWiki安装的机密性、完整性和可用性。此漏洞已在XWiki 14.10.6和15.1-rc-1中修补。除了升级到修复版本的脚注宏外，没有其他可行的解决方法。解决建议
"将组件 org.xwiki.platform:xwiki-core-rendering-macro-footnotes 升级至 14.10.6 及以上版本""将组件 org.xwiki.rendering:xwiki-rendering-macro-footnotes 升级至 15.1-rc-1 及以上版本""将组件 org.xwiki.rendering:xwiki-rendering-macro-footnotes 升级至 14.10.6 及以上版本"受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | xwiki | xwiki-rendering | * | Up to (excluding) 14.10.6 | |||||
| 运行在以下环境 | |||||||||
| 应用 | xwiki | xwiki-rendering | 15.0 | - | |||||
- 攻击路径 远程
- 攻击复杂度 容易
- 权限要求 无需权限
- 影响范围 全局影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| NVD-CWE-noinfo |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论