CVE-2023-48292

Résumé

L'application XWiki Admin Tools fournit des outils pour faciliter l'administration de XWiki. À partir de la version 4.4 et avant la version 4.5.1, une vulnérabilité de type cross-site request forgery dans l'outil d'administration permettant d'exécuter des commandes shell sur le serveur permet à un attaquant d'exécuter des commandes shell arbitraires en trompant un administrateur pour qu'il charge l'URL avec la commande shell. Une possibilité d'attaque très simple réside dans les commentaires. Lorsque l'attaquant peut laisser un commentaire sur une page quelconque du wiki, il suffit d'inclure une image avec une URL comme `/xwiki/bin/view/Admin/RunShellCommand?command=touch%20/tmp/attacked` dans le commentaire. Lorsqu'un administrateur consulte le commentaire, le fichier `/tmp/attacked` est créé sur le serveur. La sortie de la commande est également vulnérable à l'injection de syntaxe XWiki, ce qui offre un moyen simple d'exécuter Groovy dans le contexte de l'installation XWiki et donc un moyen encore plus simple de compromettre l'intégrité et la confidentialité de l'ensemble de l'installation XWiki. Cette vulnérabilité a été corrigée par l'ajout d'une vérification de jeton de formulaire dans la version 4.5.1 des outils d'administration. Des solutions de contournement sont disponibles. Le correctif peut être appliqué manuellement aux pages wiki concernées. Alternativement, le document `Admin.RunShellCommand` peut également être supprimé si la possibilité d'exécuter des commandes shell n'est pas nécessaire.

• XWiki Standard 14.10 - Remote Code Execution (RCE)Exploit