Michael Hamann

Nome do Software Vulnerável e Versões Afetadas: XWiki Remote Macros versões 1.0 até 1.26.5 Descrição: O XWiki Remote Macros fornece macros de renderização do XWiki usadas para migrar conteúdo do Confluence. A ausência de um mecanismo de escape no parâmetro `ac:type` dentro da macro `ConfluenceLayoutSection` permite a execução remota de código. O parâmetro `classes` é utilizado sem o devido escape na sintaxe do XWiki, possibilitando a injeção de sintaxe do XWiki, o que também leva à execução remota de código. Recomendações: Atualize para a versão 1.26.5 ou posterior.

Nome do Software Vulnerável e Versões Afetadas: Versões do XWiki Platform de 14.4.2 a 16.4.7 Versões do XWiki Platform de 16.5.0-rc-1 a 16.10.6 Versões do XWiki Platform de 17.0.0-rc-1 a 17.4.0-rc-1 Descrição: As tarefas de exportação para PDF armazenam cookies sensíveis sem criptografia nos status das tarefas. Isso inclui o nome de usuário e a senha criptografados, o que efetivamente expõe a senha em texto simples caso a chave de criptografia seja comprometida. A chave de criptografia é armazenada no mesmo diretório de dados que o status da tarefa, tornando-a acessível. A vulnerabilidade existe porque o status da tarefa inclui cookies da requisição HTTP que acionou a exportação. Recomendações: Atualize para o XWiki Platform versão 16.4.8 ou posterior. Atualize para o XWiki Platform versão 16.10.7 ou posterior. Atualize para o XWiki Platform versão 17.4.0-rc-1 ou posterior.

A plataforma contém vulnerabilidades de cross-site scripting (XSS) refletido em dois modelos. Um atacante pode executar código JavaScript malicioso no contexto da sessão de uma vítima, levando-a a visitar uma URL manipulada. Isso permite que o atacante execute ações usando as permissões da vítima. O problema é explorável por meio de URLs como `/xwiki/bin/view/Main/?xpage=job status json&jobId=asdf&translationPrefix=<img src=1 onerror=alert(document.domain)>` e `/xwiki/bin/view/Main/?xpage=distribution&extensionId=%3Cimg src=x onerror=alert(document.domain)%3E&extensionVersionConstraint=%3Cimg src=x onerror=alert(document.domain)%3E`.

A vulnerabilidade permite que qualquer usuário com direitos de edição em uma página execute código, incluindo Groovy, Python e Velocity, com direitos de programação, definindo uma macro wiki. Isso pode conceder acesso total a toda a instalação do XWiki. O problema surge quando um parâmetro de macro wiki permite sintaxe wiki e seu valor padrão é executado com os direitos do autor do documento onde é utilizado. Isso pode ser explorado sobrescrevendo uma macro, como a macro 'children', permitindo macros de script arbitrários.

O XWiki Platform, uma plataforma wiki genérica, contém uma falha na URL de pesquisa REST. O parâmetro `orderField` é suscetível à injeção de HQL. O valor fornecido para este parâmetro é incluído duas vezes na consulta, exigindo manipulação cuidadosa para sua exploração. Especificamente, envolver o segmento da consulta entre as duas instâncias do campo entre aspas simples pode contornar as restrições, mas a consulta deve permanecer válida com o parâmetro aparecendo duas vezes. Este problema afeta versões a partir da 4.3-milestone-1 e é corrigido nas versões 16.10.9, 17.4.2 e 17.5.0. O endpoint da API envolvido é a URL de pesquisa REST. O parâmetro vulnerável é `orderField`.

A vulnerabilidade permite que qualquer usuário incorpore código Javascript utilizando sintaxe Markdown, o qual pode ser executado no navegador de outros usuários que visitam o documento ou comentário que o contém. Isso compromete a confidencialidade, a integridade e a disponibilidade de toda a instalação do XWiki, especialmente se o código for executado por um usuário com direitos administrativos ou de programação.

XWiki is a generic wiki platform that warns about the execution of "dangerous" macros like malicious script macros authored by a user with fewer rights since XWiki 15.9RC1. However, the required rights analyzers that trigger these warnings are incomplete, allowing an attacker to hide malicious content. The existing analyzers do not consider non-lowercase parameters, and most macro parameters that can contain XWiki syntax were not analyzed. This could allow a malicious user to add malicious script macros, including Groovy or Python macros, to a page that are then executed after another user with programming rights edits the page, thus allowing remote code execution.

The issue is related to a bug in the implementation of required rights in XWiki, allowing any user with edit right on a document to set programming right as required right. This could lead to remote code execution if a user with programming right edits the document. The impact is considered low, as the vulnerability provides no additional attack surface unless all documents in the wiki enforce required rights. However, gaining programming right could have a high impact.

O XWiki Platform Legacy Old Core e o XWiki Platform Old Core permitem que qualquer usuário com permissões de edição crie um XClass com uma propriedade de lista de banco de dados que referencia uma propriedade de senha. Ao adicionar um objeto desse XClass, o conteúdo da propriedade de senha é exibido, potencialmente expondo hashes de senha de todos os usuários e outras propriedades de senha a qualquer usuário com uma conta na wiki.

O XWiki Platform Legacy Old Core e o XWiki Platform Old Core são afetados por uma falha na qual a exportação XML de uma página, acessível a qualquer usuário com direitos de visualização ao adicionar `?xpage=xml` à URL, inclui as propriedades `password` e `email` armazenadas em um documento – mesmo que essas propriedades não sejam explicitamente nomeadas `password` ou `email`.

O problema afeta o XWiki, uma plataforma wiki genérica, onde um atacante pode acessar o título de cada página cuja referência seja conhecida através da API REST, desde que um XClass com uma propriedade de página esteja acessível. Esta é a configuração padrão de uma instalação do XWiki. O impacto na confidencialidade depende da estratégia para nomes de páginas, com baixo impacto se os nomes das páginas coincidirem com o título, mas potencialmente alto impacto se os nomes das páginas forem intencionalmente ofuscados porque os títulos são sensíveis.

A Plataforma XWiki é uma plataforma wiki genérica. A partir da versão 9.7-rc-1 e até as versões 15.10.11, 16.4.1 e 16.5.0, qualquer usuário com uma conta pode executar código remoto arbitrário adicionando instâncias de `XWiki.WikiMacroClass` a qualquer página. Isso compromete a confidencialidade, integridade e disponibilidade de toda a instalação do XWiki. A vulnerabilidade foi corrigida nas versões 15.10.11, 16.4.1 e 16.5.0 do XWiki.

A vulnerabilidade permite que qualquer usuário com uma conta na wiki principal execute operações de agendamento em subwikis. Para reproduzir o problema, um usuário na wiki principal sem nenhum direito especial pode visualizar o documento `Scheduler.WebHome` em uma subwiki e, em seguida, clicar em qualquer operação (por exemplo, Trigger) em qualquer tarefa. Se a operação for bem-sucedida, a instância está vulnerável.

A Plataforma XWiki é uma plataforma wiki genérica. Em instâncias nas quais o `Extension Repository Application` está instalado, qualquer usuário pode executar qualquer código que exija direitos de `programação` no servidor. Este problema foi corrigido nas versões XWiki 15.10.9 e 16.3.0. Como o `Extension Repository Application` não é obrigatório, ele pode ser desativado com segurança em instâncias que não o utilizam como solução alternativa. Também é possível aplicar manualmente os patches do commit 8659f17d500522bf33595e402391592a35a162e8 à página `ExtensionCode.ExtensionSheet` e à página `ExtensionCode.ExtensionAuthorsDisplayer`.

O problema surge quando um usuário sem direitos de script cria um documento contendo um objeto XWiki.Notifications.Code.NotificationDisplayerClass. Se um administrador editar e salvar este documento posteriormente, o conteúdo potencialmente malicioso do objeto é exibido como HTML bruto, permitindo ataques de cross-site scripting (XSS). O exibidor de notificações executa código Velocity e, embora um analisador genérico alerte os administradores sobre a edição de código Velocity, avisos para editar documentos com propriedades perigosas foram introduzidos apenas no XWiki 15.9.

The issue affects XWiki, a generic wiki platform. It occurs when a user without script right creates a document with an `XWiki.Notifications.Code.NotificationEmailRendererClass` object. If an admin later edits and saves that document, the email templates in this object will be used for notifications. Although no malicious code can be executed due to the existing generic analyzer warning admins before editing Velocity code, the main impact could be to send spam, such as phishing links to other users, or to hide notifications about other attacks.

Um usuário sem direitos de script ou programação pode induzir um usuário com direitos elevados a editar conteúdo com uma carga maliciosa usando um editor WYSIWYG. O usuário com direitos elevados não é avisado previamente de que irá editar conteúdo potencialmente perigoso. A carga maliciosa é executada no momento da edição.

A vulnerabilidade permite que um usuário sem direitos de script ou programação crie uma URL direcionada a uma página com JavaScript arbitrário, o que requer que um engenheiro social induza um usuário a acessar a URL.

A vulnerabilidade permite que qualquer usuário com direitos de edição em qualquer página execute código remoto arbitrário ao adicionar instâncias de `XWiki.SearchSuggestConfig` e `XWiki.SearchSuggestSourceClass` ao seu perfil de usuário ou a qualquer outra página. Isso compromete a confidencialidade, integridade e disponibilidade de toda a instalação do XWiki.

A vulnerabilidade permite que um invasor execute trechos de JavaScript no ambiente de outro usuário, comprometendo a confidencialidade, integridade e disponibilidade de toda a instalação do XWiki. Isso pode ser feito criando um conflito quando outro usuário com mais direitos estiver editando uma página. O número estimado de dispositivos potencialmente afetados não foi especificado. Para explorar essa vulnerabilidade, um usuário com direitos de administrador precisa editar um documento sem salvar imediatamente. Em seguida, outro usuário sem nenhum direito além de editar o documento específico deve alterar todo o conteúdo para `<script>alert(‘XSS’)</script>`. Quando o usuário administrador salva o documento, uma janela pop-up de conflito é exibida. Se ele selecionar “Resolver cada conflito individualmente” e vir um alerta exibindo “XSS”, a instância está vulnerável.