Vulnerabilidad en XWiki (CVE-2024-42489)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-74 Neutralización incorrecta de elementos especiales en la salida utilizada por un componente interno (Inyección)

Fecha de publicación:

12/08/2024

Última modificación:

16/09/2024

Descripción

Pro Macros proporciona macros de renderizado de XWiki. La falta de escape en la macro Viewpdf permite a cualquier usuario con vista directa en la página `CKEditor.HTMLConverter` o editar o comentar directamente en cualquier página realizar la ejecución remota de código. Otras macros como Viewppt son vulnerables al mismo tipo de ataque. Esta vulnerabilidad se solucionó en 1.10.1.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto