Vulnerabilidad en el formulario de restablecimiento de contraseña en la plataforma Xwiki (CVE-2021-32731)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

01/07/2021

Última modificación:

25/10/2022

Descripción

Una plataforma XWiki es una plataforma wiki genérica que ofrece servicios en tiempo de ejecución para las aplicaciones construidas sobre ella. Entre (e incluyendo) versiones 13.1RC1 y 13.1, el formulario de restablecimiento de contraseña revela la dirección de correo electrónico de los usuarios con sólo dar su nombre de usuario. El problema ha sido parcheado en XWiki versión 13.2RC1. Como solución, es posible modificar manualmente la plantilla "resetpasswordinline.vm" para llevar a cabo los cambios realizados para mitigar la vulnerabilidad

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.30

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno