Vulnerabilidad en macro-pdfviewer (CVE-2024-52298)

macro-pdfviewer es una macro de visor de PDF para XWiki que utiliza Mozilla pdf.js. La macro de visor de PDF permite a un atacante ver cualquier archivo adjunto mediante la función "Delegar mi derecho de visualización" siempre que el atacante pueda ver una página cuyo último autor tenga acceso al archivo adjunto. Para ello, el atacante solo necesita proporcionar la referencia a un archivo PDF a la macro. Para obtener la referencia del archivo adjunto deseado, el atacante puede acceder al índice de páginas, pestaña Archivos adjuntos. Incluso si la interfaz de usuario muestra N/D, el usuario puede inspeccionar la página y verificar la solicitud HTTP que obtiene las entradas de datos en vivo. La URL del archivo adjunto está disponible en el JSON devuelto para todos los archivos adjuntos, incluidos los protegidos, y permite obtener los valores necesarios. Esta vulnerabilidad se corrigió en la versión 2.5.6.