Vulnerabilidad en XWiki Platform Web Templates (CVE-2022-36093)

XWiki Platform Web Templates son plantillas para la plataforma XWiki, una plataforma wiki genérica. Al pasar una plantilla del asistente de distribución a la plantilla xpart, pueden crearse cuentas de usuario incluso cuando el registro de usuario está deshabilitado. Esto también omite cualquier verificación de correo electrónico. En versiones anteriores a 14.2 y 13.10.4, esto también puede explotarse en una wiki privada, potencialmente dándole al atacante acceso a la wiki. Dependiendo de los derechos predeterminados configurados de usuarios, esto también podría dar a atacantes acceso de escritura a un wiki público de solo lectura. También pueden crearse usuarios cuando es configurado un sistema de autenticación externo como LDAP, pero la autenticación falla a menos que el sistema de autenticación admita una omisión/cuentas locales habilitadas además del sistema de autenticación externo. Este problema fue parcheado en XWiki versiones 13.10.5 y 14.3RC1. Como mitigación, puede sustituirse "xpart.vm", el punto de entrada de este ataque, por una versión parcheada del parche sin actualizar XWiki