中危 通过用户注册的 XWiki 远程代码执行漏洞 (CVE-2024-21650)

CVE编号

CVE-2024-21650

利用情况

暂无

补丁情况

官方补丁

披露时间

2024-01-09
漏洞描述
XWiki Platform 是一个通用的维基平台，为基于该平台构建的应用程序提供运行时服务。XWiki 在用户注册功能中存在远程代码执行（RCE）漏洞。攻击者可以通过在用户注册过程中的“名字”或“姓氏”字段中构造恶意载荷来执行任意代码。这会影响所有开启了来宾用户注册功能的安装。该漏洞已在 XWiki 14.10.17、15.5.3 和 15.8 RC1 版本中得到修复。
解决建议
"将组件 org.xwiki.platform:xwiki-platform-administration-ui 升级至 14.10.17 及以上版本"
"将组件 org.xwiki.platform:xwiki-platform-administration-ui 升级至 15.5.3 及以上版本"
"将组件 org.xwiki.platform:xwiki-platform-administration-ui 升级至 15.8-rc-1 及以上版本"
参考链接
https://github.com/xwiki/xwiki-platform/commit/b290bfd573c6f7db6cc15a88dd4111...
https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-rj7p-xjv7-7229
https://jira.xwiki.org/browse/XWIKI-21173
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 xwiki xwiki * Up to
(excluding)
14.10.17
运行在以下环境
应用 xwiki xwiki * From
(including)
15.0 		Up to
(excluding)
15.5.3
运行在以下环境
应用 xwiki xwiki * From
(including)
15.6 		Up to
(including)
15.7
阿里云评分
6.9
  • 攻击路径
    远程
  • 攻击复杂度
    容易
  • 权限要求
    无需权限
  • 影响范围
    全局影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    无影响
  • 数据完整性
    无影响
  • 服务器危害
    无影响
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-94 对生成代码的控制不恰当（代码注入）
CWE-95 动态执行代码中指令转义处理不恰当（Eval注入）
阿里云安全产品覆盖情况