CVE-2023-48292

Resumo

O XWiki Admin Tools Application fornece ferramentas para auxiliar na administração do XWiki. A partir da versão 4.4 e anterior à versão 4.5.1, uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) na ferramenta de administração para executar comandos shell no servidor permite que um atacante execute comandos shell arbitrários ao enganar um administrador para que carregue a URL com o comando shell. Uma possibilidade muito simples de ataque são os comentários. Quando o atacante pode deixar um comentário em qualquer página da wiki, basta incluir uma imagem com uma URL como `/xwiki/bin/view/Admin/RunShellCommand?command=touch%20/tmp/attacked` no comentário. Quando um administrador visualiza o comentário, o arquivo `/tmp/attacked` será criado no servidor. A saída do comando também é vulnerável à injeção de sintaxe do XWiki, o que oferece uma maneira simples de executar Groovy no contexto da instalação do XWiki e, assim, uma maneira ainda mais fácil de comprometer a integridade e a confidencialidade de toda a instalação do XWiki. Isso foi corrigido com a adição de uma verificação de token de formulário na versão 4.5.1 das ferramentas de administração. Algumas soluções alternativas estão disponíveis. O patch pode ser aplicado manualmente nas páginas da wiki afetadas. Alternativamente, o documento `Admin.RunShellCommand` também pode ser excluído se a possibilidade de executar comandos shell não for necessária.

• XWiki Standard 14.10 - Remote Code Execution (RCE)Exploit

  Mehran Seifalinia · php · 29 de mar. de 2025