Michael Hamann

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: XWiki Remote Macros، الإصدارات من 1.0 حتى 1.26.5 الوصف: يوفر XWiki Remote Macros ماكروات عرض XWiki تُستخدم لترحيل محتوى Confluence. يؤدي عدم وجود آلية الهروب في المعلمة `ac:type` داخل الماكرو `ConfluenceLayoutSection` إلى السماح بتنفيذ التعليمات البرمجية عن بُعد. تُستخدم المعلمة `classes` دون الهروب اللازم في صيغة XWiki، مما يتيح حقن صيغة XWiki، وهو ما يؤدي أيضًا إلى تنفيذ التعليمات البرمجية عن بُعد. التوصيات: قم بالتحديث إلى الإصدار 1.26.5 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات منصة XWiki من 14.4.2 إلى 16.4.7 إصدارات منصة XWiki من 16.5.0-rc-1 إلى 16.10.6 إصدارات منصة XWiki من 17.0.0-rc-1 إلى 17.4.0-rc-1 الوصف: تقوم مهام التصدير إلى PDF بتخزين ملفات تعريف الارتباط الحساسة دون تشفير في حالات المهام. ويشمل ذلك اسم المستخدم وكلمة المرور المشفرين، مما يؤدي فعليًّا إلى كشف كلمة المرور بنص عادي في حالة تعرض مفتاح التشفير للاختراق. يتم تخزين مفتاح التشفير في نفس دليل البيانات الذي يحتوي على حالة المهمة، مما يجعله قابلاً للوصول. توجد هذه الثغرة الأمنية لأن حالة المهمة تتضمن ملفات تعريف الارتباط الخاصة بطلب HTTP الذي أطلق عملية التصدير. التوصيات: قم بالتحديث إلى الإصدار 16.4.8 أو أحدث من منصة XWiki. قم بالتحديث إلى الإصدار 16.10.7 أو أحدث من منصة XWiki. قم بالتحديث إلى الإصدار 17.4.0-rc-1 أو أحدث من منصة XWiki.

تحتوي المنصة على ثغرات أمنية تتعلق بالبرمجة النصية عبر المواقع (XSS) المنعكسة في نموذجين. يمكن للمهاجم تنفيذ كود JavaScript ضار في سياق جلسة عمل الضحية، مما يدفعها إلى زيارة عنوان URL تم التلاعب به. وهذا يسمح للمهاجم بتنفيذ إجراءات باستخدام أذونات الضحية. يمكن استغلال هذه الثغرة من خلال عناوين URL مثل `/xwiki/bin/view/Main/?xpage=job status json&jobId=asdf&translationPrefix=<img src=1 onerror=alert(document.domain) >` و`/xwiki/bin/view/Main/?xpage=distribution&extensionId=%3Cimg src=x onerror=alert(document.domain)%3E&extensionVersionConstraint=%3Cimg src=x onerror=alert(document.domain)%3E`.

تسمح هذه الثغرة لأي مستخدم يتمتع بحقوق التحرير في إحدى الصفحات بتنفيذ تعليمات برمجية، بما في ذلك لغات Groovy وPython وVelocity، بحقوق البرمجة، من خلال تعريف ماكرو ويكي. وقد يمنح ذلك وصولاً كاملاً إلى تثبيت XWiki بأكمله. تظهر المشكلة عندما يسمح معلمة ماكرو ويكي باستخدام صيغة ويكي ويتم تنفيذ قيمتها الافتراضية بحقوق مؤلف المستند الذي يتم استخدامها فيه. يمكن استغلال ذلك عن طريق استبدال ماكرو، مثل ماكرو «children»، مما يسمح بتنفيذ ماكروات نصوصية تعسفية.

تحتوي منصة XWiki Platform، وهي منصة ويكي عامة، على ثغرة في عنوان URL الخاص بالبحث REST. المعلمة `orderField` معرضة لحقن HQL. يتم تضمين القيمة المقدمة لهذا المعامل مرتين في الاستعلام، مما يتطلب معالجة دقيقة لاستغلاله. وعلى وجه التحديد، فإن وضع جزء الاستعلام الواقع بين المرةَين اللتين يظهر فيهما الحقل بين علامتي اقتباس مفردة بين علامتي اقتباس مفردة يمكن أن يتجاوز القيود، لكن يجب أن يظل الاستعلام صالحًا مع ظهور المعامل مرتين. تؤثر هذه المشكلة على الإصدارات بدءًا من 4.3-milestone-1 وتم إصلاحها في الإصدارات 16.10.9 و17.4.2 و17.5.0. نقطة نهاية واجهة برمجة التطبيقات (API) المعنية هي عنوان URL الخاص بالبحث REST. المعلمة المعرضة للخطر هي `orderField`.

تسمح هذه الثغرة الأمنية لأي مستخدم بدمج كود جافا سكريبت باستخدام صيغة ماركداون، والذي يمكن تنفيذه في متصفح المستخدمين الآخرين الذين يزورون المستند أو التعليق الذي يحتوي عليه. وهذا يعرض للخطر سرية وسلامة وتوافر تثبيت XWiki بأكمله، خاصةً إذا تم تنفيذ الكود من قِبل مستخدم يتمتع بحقوق إدارية أو برمجية.

XWiki هي منصة ويكي عامة تحذر من تنفيذ ماكروات ”خطيرة“ مثل ماكروات البرامج النصية الخبيثة التي ينشئها مستخدم يتمتع بحقوق أقل منذ إصدار XWiki 15.9RC1. ومع ذلك، فإن أدوات تحليل الحقوق المطلوبة التي تطلق هذه التحذيرات غير مكتملة، مما يسمح للمهاجم بإخفاء المحتوى الخبيث. لا تأخذ أدوات التحليل الحالية في الاعتبار المعلمات غير المكتوبة بأحرف صغيرة، كما أن معظم معلمات الماكرو التي يمكن أن تحتوي على صيغة XWiki لم يتم تحليلها. وقد يتيح ذلك لمستخدم ضار إضافة ماكروات نصوص برمجية ضارة، بما في ذلك ماكروات Groovy أو Python، إلى صفحة يتم تنفيذها بعد أن يقوم مستخدم آخر يتمتع بحقوق البرمجة بتحرير الصفحة، مما يسمح بتنفيذ التعليمات البرمجية عن بُعد.

تتعلق المشكلة بخطأ في تطبيق الحقوق المطلوبة في XWiki، مما يسمح لأي مستخدم لديه حق التحرير على مستند ما بتعيين حق البرمجة كحق مطلوب. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد إذا قام مستخدم لديه حق البرمجة بتحرير المستند. ويُعتبر التأثير منخفضًا، حيث لا توفر هذه الثغرة الأمنية أي سطح هجوم إضافي ما لم تفرض جميع المستندات في الويكي الحقوق المطلوبة. ومع ذلك، فإن الحصول على حق البرمجة قد يكون له تأثير كبير.

يسمح كل من XWiki Platform Legacy Old Core و XWiki Platform Old Core لأي مستخدم لديه أذونات تحرير بإنشاء XClass يحتوي على خاصية قائمة قاعدة بيانات تشير إلى خاصية كلمة مرور. عند إضافة كائن من هذا XClass، يتم عرض محتوى خاصية كلمة المرور، مما قد يؤدي إلى كشف تجزئات كلمات مرور جميع المستخدمين وخصائص كلمات المرور الأخرى لأي مستخدم لديه حساب في الويكي.

يتأثر كل من XWiki Platform Legacy Old Core و XWiki Platform Old Core بثغرة أمنية تتمثل في أن تصدير XML لصفحة ما، الذي يمكن لأي مستخدم لديه حقوق عرض الوصول إليه عن طريق إضافة `?xpage=xml` إلى عنوان URL، يتضمن الخصائص `password` و `email` المخزنة في مستند ما – حتى لو لم تكن هذه الخصائص مسماة صراحةً بـ `password` أو `email`.

تؤثر هذه المشكلة على XWiki، وهي منصة ويكي عامة، حيث يمكن للمهاجم الوصول إلى عنوان كل صفحة معروفة مرجعها عبر واجهة برمجة التطبيقات REST (REST API)، شريطة أن يكون XClass الذي يحتوي على خاصية الصفحة متاحًا. وهذا هو الإعداد الافتراضي لتثبيت XWiki. يعتمد التأثير على السرية على استراتيجية تسمية الصفحات، حيث يكون التأثير منخفضًا إذا كانت أسماء الصفحات متطابقة مع العناوين، ولكنه قد يكون كبيرًا إذا تم إخفاء أسماء الصفحات عمدًا لأن العناوين حساسة.

XWiki Platform is a generic wiki platform. Starting in version 9.7-rc-1 and prior to versions 15.10.11, 16.4.1, and 16.5.0, any user with an account can perform arbitrary remote code execution by adding instances of `XWiki.WikiMacroClass` to any page. This compromises the confidentiality, integrity, and availability of the whole XWiki installation. The vulnerability has been fixed in XWiki 15.10.11, 16.4.1, and 16.5.0.

The issue allows any user with an account on the main wiki to run scheduling operations on subwikis. To reproduce, a user on the main wiki without any special right can view the document `Scheduler.WebHome` in a subwiki, then click on any operation (e.g., Trigger) on any job. If the operation is successful, the instance is vulnerable.

XWiki Platform is a generic wiki platform. On instances where `Extension Repository Application` is installed, any user can execute any code requiring `programming` rights on the server. This issue has been fixed in XWiki 15.10.9 and 16.3.0. Since `Extension Repository Application` is not mandatory, it can be safely disabled on instances that do not use it as a workaround. It is also possible to manually apply the patches from commit 8659f17d500522bf33595e402391592a35a162e8 to the page `ExtensionCode.ExtensionSheet` and to the page `ExtensionCode.ExtensionAuthorsDisplayer`.

تظهر المشكلة عندما يقوم مستخدم لا يمتلك حقوق تشغيل البرامج النصية بإنشاء مستند يحتوي على كائن XWiki.Notifications.Code.NotificationDisplayerClass. إذا قام أحد المسؤولين بتحرير هذا المستند وحفظه لاحقًا، فسيتم عرض المحتوى الذي قد يكون ضارًا الخاص بالكائن ككود HTML خام، مما يتيح شن هجمات البرمجة النصية عبر المواقع (XSS). يقوم عارض الإشعارات بتنفيذ كود Velocity، وعلى الرغم من أن محللًا عامًا ينبه المسؤولين بشأن تحرير كود Velocity، إلا أن التحذيرات المتعلقة بتحرير المستندات ذات الخصائص الخطرة لم تُدرج إلا في XWiki 15.9.

تؤثر هذه المشكلة على XWiki، وهي منصة ويكي عامة. وتحدث عندما يقوم مستخدم لا يمتلك حق تشغيل البرامج النصية بإنشاء مستند يحتوي على كائن `XWiki. Notifications.Code.NotificationEmailRendererClass`. وإذا قام أحد المسؤولين لاحقًا بتحرير هذا المستند وحفظه، فسيتم استخدام قوالب البريد الإلكتروني الموجودة في هذا الكائن لإرسال الإشعارات. وعلى الرغم من أنه لا يمكن تنفيذ أي كود ضار بفضل المحلل العام الموجود الذي يحذر المسؤولين قبل تحرير كود Velocity، إلا أن التأثير الرئيسي قد يتمثل في إرسال رسائل غير مرغوب فيها، مثل روابط التصيد الاحتيالي إلى مستخدمين آخرين، أو إخفاء الإشعارات المتعلقة بهجمات أخرى.

A user without script or programming rights can trick a user with elevated rights to edit content with a malicious payload using a WYSIWYG editor. The user with elevated rights is not warned beforehand that they are going to edit possibly dangerous content. The payload is executed at edit time.

The issue allows a user without Script or Programming rights to craft a URL pointing to a page with arbitrary JavaScript, which requires a social engineer to trick a user into following the URL.

The issue allows any user with edit rights on any page to perform arbitrary remote code execution by adding instances of `XWiki.SearchSuggestConfig` and `XWiki.SearchSuggestSourceClass` to their user profile or any other page. This compromises the confidentiality, integrity, and availability of the whole XWiki installation.

The issue allows an attacker to execute JavaScript snippets on the side of another user, compromising the confidentiality, integrity, and availability of the whole XWiki installation. This can be achieved by creating a conflict when another user with more rights is currently editing a page. The estimated number of potentially affected devices is not specified. To exploit this issue, a user with admin rights needs to edit a document without saving right away. Then, as another user without any other right than edit on the specific document, change the whole content to `<script>alert('XSS')</script>`. When the admin user then saves the document, a conflict popup appears. If they select "Fix each conflict individually" and see an alert displaying "XSS", then the instance is vulnerable.