Vulnerabilidad en XWiki Platform (CVE-2023-48241)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
20/11/2023
Última modificación:
29/11/2023
Descripción
XWiki Platform es una plataforma wiki genérica. A partir de la versión 6.3-milestone-2 y antes de las versiones 14.10.15, 15.5.1 y 15.6RC1, el proveedor de sugerencias de búsqueda basado en Solr que también se duplica como API JavaScript genérica para los resultados de búsqueda en XWiki expone el contenido de todos los documentos de todos los wikis a cualquiera que tenga acceso a ellos, por defecto es público. Esto expone toda la información almacenada en el wiki (pero no parte de la información protegida como los hashes de contraseñas). Si bien normalmente existe una verificación correcta, esta se puede eludir solicitando explícitamente campos de Solr que no incluyan los datos para la verificación correcta. Esto se solucionó en XWiki 15.6RC1, 15.5.1 y 14.10.15 al no enumerar los documentos cuyos derechos no se pueden verificar. No hay workarounds conocidos disponibles.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:* | 6.4 (incluyendo) | 14.10.5 (excluyendo) |
| cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:* | 15.0 (incluyendo) | 15.5.1 (excluyendo) |
| cpe:2.3:a:xwiki:xwiki:6.3:milestone2:*:*:*:*:*:* | ||
| cpe:2.3:a:xwiki:xwiki:6.3:rc1:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página