XWiki 平台：通过 DatabaseSearch 以访客身份远程执行代码 (CVE-2024-31982)
CVE编号
CVE-2024-31982利用情况
暂无补丁情况
N/A披露时间
2024-04-11漏洞描述
XWiki平台是一个通用的维基平台。在版本2.4-milestone-1及之前的版本4.10.20、15.5.4和15.10-rc-1中，XWiki的数据库搜索允许通过搜索文本进行远程代码执行。这使得任何公共维基的访问者或封闭维基的用户都可以进行远程代码执行，因为数据库搜索默认对所有用户可访问。这会影响整个XWiki安装的机密性、完整性和可用性。此漏洞已在XWiki 14.10.20、15.5.4和15.10RC1中修补。作为一种解决方法，可以手动将补丁应用于页面`Main.DatabaseSearch`。另外，除非用户明确使用数据库搜索，否则可以删除此页面，因为这不是XWiki的默认搜索界面。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 已更改
- 用户交互 无
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论