Vulnerabilidad en Xwiki (CVE-2021-32732)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

04/02/2022

Última modificación:

10/02/2022

Descripción

### Impacto Es posible saber si un usuario presenta o no una cuenta en un wiki relacionada con una dirección de correo electrónico, y qué nombre(s) de usuario está(n) realmente vinculado(s) a ese correo electrónico al falsificar una petición a la página de Nombre de usuario olvidado. Ten en cuenta que como esta página no presenta una comprobación de tipo CSRF es bastante fácil llevar a cabo muchas de esas peticiones. ### Parches Este problema ha sido parcheado en XWiki versiones 12.10.5 y 13.2RC1. Se proporcionan dos parches diferentes: - uno para corregir el problema de CSRF - otro más complejo que ahora es basado en el envío de un correo electrónico para el proceso Forgot username. ### Mitigaciones Es posible arreglar el problema sin actualizar al editar la página de ForgotUsername en versiones anteriores a 13.x, para usar el siguiente código: https://github.com/xwiki/xwiki-platform/blob/69548c0320cbd772540cf4668743e69f879812cf/xwiki-platform-core/xwiki-platform-administration/xwiki-platform-administration-ui/src/main/resources/XWiki/ForgotUsername.xml#L39-L123 En la versión posterior a 13.x también es posible editar manualmente el archivo forgotusername.vm, pero es recomendado actualizar la versión aquí. References * https://jira.xwiki.org/browse/XWIKI-18384 * https://jira.xwiki.org/browse/XWIKI-18408 ###. Para más información Si presenta alguna pregunta o comentario sobre este aviso: * Abra una incidencia en [Jira XWiki](https://jira.xwiki.org) * Envíenos un correo electrónico a [security ML](mailto:security@xwiki.org)

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno