One Article Review
| Source |  CVE Liste |
|---|---|
| Identifiant | 8373845 |
| Date de publication | 2023-08-23 21:15:08 (vue: 2023-08-23 23:06:51) |
| Titre | CVE-2023-40177 |
| Texte | La plate-forme Xwiki est une plate-forme wiki générique offrant des services d'exécution pour des applications construites en plus.Tout utilisateur enregistré peut utiliser le champ de contenu de sa page de profil utilisateur pour exécuter des scripts arbitraires avec des droits de programmation, effectuant ainsi efficacement les droits d'escalade.Ce problème est présent depuis la version 4.3m2 lorsque AppwithInMinutes Application a ajouté la prise en charge du champ de contenu, permettant à n'importe quelle page Wiki (y compris la page de profil utilisateur) d'utiliser son contenu comme champ de contenu AWM, qui a un affichage personnalisé qui exécute le contenu avec le contenu du contenuDroits de l'auteur `` AppWithinminutes.Content '', plutôt que les droits de l'auteur de contenu.La vulnérabilité a été fixée dans Xwiki 14.10.5 et 15.1rc1.Le correctif est dans le contenu de la page AppWithInMinutes.Content qui définit l'affichage personnalisé.En utilisant le service de script `` Display '' pour rendre le contenu, nous nous assurons que l'auteur approprié est utilisé pour les vérifications des droits d'accès.
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Any registered user can use the content field of their user profile page to execute arbitrary scripts with programming rights, thus effectively performing rights escalation. This issue is present since version 4.3M2 when AppWithinMinutes Application added support for the Content field, allowing any wiki page (including the user profile page) to use its content as an AWM Content field, which has a custom displayer that executes the content with the rights of the ``AppWithinMinutes.Content`` author, rather than the rights of the content author. The vulnerability has been fixed in XWiki 14.10.5 and 15.1RC1. The fix is in the content of the AppWithinMinutes.Content page that defines the custom displayer. By using the ``display`` script service to render the content we make sure that the proper author is used for access rights checks. |
| Notes | |
| Envoyé | Oui |
| Condensat | 1rc1 2023 3m2 40177 ``appwithinminutes ``display`` access added allowing any application applications appwithinminutes arbitrary author awm been built can checks content content`` custom cve defines displayer effectively escalation execute executes field fix fixed generic has including issue its make offering page performing platform present profile programming proper rather registered render rights runtime script scripts service services since support sure than thus top use used user using version vulnerability when which wiki xwiki |
| Tags | Vulnerability |
| Stories | |
| Move | 
|
L'article ne semble pas avoir été repris aprés sa publication.
L'article ne semble pas avoir été repris sur un précédent.