CVE-2023-48292

ملخص

يوفر تطبيق XWiki Admin Tools أدوات للمساعدة في إدارة XWiki. بدءًا من الإصدار 4.4 وحتى ما قبل الإصدار 4.5.1، تسمح ثغرة تزوير الطلب عبر المواقع (CSRF) في أداة الإدارة لتنفيذ أوامر الصدفة على الخادم للمهاجم بتنفيذ أوامر صدفة عشوائية عن طريق خداع المسؤول لتحميل عنوان URL الذي يحتوي على أمر الصدفة. ومن أبسط الطرق الممكنة للهجوم هي التعليقات. فعندما يتمكن المهاجم من ترك تعليق على أي صفحة في الويكي، يكفي أن يضمّن صورة بعنوان URL مثل `/xwiki/bin/view/Admin/RunShellCommand?command=touch%20/tmp/attacked` في التعليق. وعندما يعرض المسؤول التعليق، سيتم إنشاء الملف `/tmp/attacked` على الخادم. كما أن مخرجات الأمر معرضة أيضًا لحقن صياغة XWiki، وهو ما يوفر طريقة بسيطة لتنفيذ Groovy في سياق تثبيت XWiki، وبالتالي طريقة أسهل للمساس بسلامة وسرية تثبيت XWiki بالكامل. تم إصلاح هذه الثغرة بإضافة فحص رمز النموذج في الإصدار 4.5.1 من أدوات الإدارة. وتتوفر بعض الحلول البديلة. يمكن تطبيق التصحيح يدويًا على صفحات الويكي المتأثرة. بدلاً من ذلك، يمكن أيضًا حذف المستند `Admin.RunShellCommand` إذا لم تكن هناك حاجة لإمكانية تنفيذ أوامر الصدفة.

• XWiki Standard 14.10 - Remote Code Execution (RCE)استغلال

  Mehran Seifalinia · php · 29‏/03‏/2025