CVE-2024-41947

XWiki Platform — XSS przez konflikt edycji strony (CVE-2024-41947)

CVSS 9.0v3.1pub. 2024-07-31upd. 2024-09-06

Podatność typu XSS w XWiki Platform umożliwia wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika o wyższych uprawnieniach podczas edycji strony. Skuteczne wykorzystanie kompromituje poufność, integralność i dostępność całej instalacji XWiki.

▸ Pokaż oryginał (EN)

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. By creating a conflict when another user with more rights is currently editing a page, it is possible to execute JavaScript snippets on the side of the other user, which compromises the confidentiality, integrity and availability of the whole XWiki installation. This has been patched in XWiki 15.10.8 and 16.3.0RC1.

🤖 Analiza AI

Jak działa

Atakujący celowo wywołuje konflikt edycji w momencie, gdy inny użytkownik posiadający wyższe uprawnienia równocześnie edytuje tę samą stronę. W wyniku obsługi tego konfliktu złośliwy fragment JavaScript zostaje wstrzyknięty i wykonany po stronie uprzywilejowanego użytkownika (CWE-79, CWE-80). Atak wymaga interakcji ofiary, lecz nie wymaga wysokich uprawnień po stronie atakującego — wystarczy dostęp do edycji strony.

Skutki

Atakujący może przejąć kontrolę nad sesją uprzywilejowanego użytkownika, zmodyfikować treści wiki oraz potencjalnie uzyskać pełną kontrolę nad instalacją XWiki, naruszając jej poufność, integralność i dostępność.

Mitygacja

Należy zaktualizować XWiki Platform do wersji 15.10.8 lub 16.3.0RC1 (lub nowszych). Patche dostępne są w repozytorium GitHub projektu (commity: 821d43ec45e67d45a6735a0717b9b77fffc1cd9f oraz e00e159d3737397eebd1f6ff925c1f5cb7cdec34).