CVE-2023-48292

Riepilogo

L'applicazione XWiki Admin Tools fornisce strumenti per aiutare l'amministrazione di XWiki. A partire dalla versione 4.4 e prima della versione 4.5.1, una vulnerabilità di cross-site request forgery nello strumento di amministrazione per l'esecuzione di comandi shell sul server consente a un attaccante di eseguire comandi shell arbitrari ingannando un amministratore affinché carichi l'URL con il comando shell. Una possibilità molto semplice per un attacco sono i commenti. Quando l'attaccante può lasciare un commento in qualsiasi pagina del wiki, è sufficiente includere un'immagine con un URL come `/xwiki/bin/view/Admin/RunShellCommand?command=touch%20/tmp/attacked` nel commento. Quando un amministratore visualizza il commento, il file `/tmp/attacked` verrà creato sul server. L'output del comando è anche vulnerabile all'iniezione di sintassi XWiki, che offre un modo semplice per eseguire Groovy nel contesto dell'installazione di XWiki e quindi un modo ancora più semplice per compromettere l'integrità e la riservatezza dell'intera installazione di XWiki. Questo è stato corretto aggiungendo un controllo del token del modulo nella versione 4.5.1 degli strumenti di amministrazione. Sono disponibili alcune soluzioni alternative. La patch può essere applicata manualmente alle pagine wiki interessate. In alternativa, il documento `Admin.RunShellCommand` può anche essere eliminato se non è necessaria la possibilità di eseguire comandi shell.

• XWiki Standard 14.10 - Remote Code Execution (RCE)Exploit

  Mehran Seifalinia · php · 29 mar 2025