Simon Urli

O problema permite que páginas adquiram direitos de script ou programação quando contêm um link e o destino do link é renomeado ou movido, potencialmente levando à execução de scripts contidos em xobjects que não deveriam ter sido executados.

A vulnerabilidade permite o acesso ao hash de uma senha utilizando o recurso de comparação (diff) do histórico sempre que o objeto que armazena a senha é excluído. Um invasor com direitos para editar a página de um usuário pode explorar isso para acessar o hash da senha de um usuário. Essa vulnerabilidade é normalmente impedida nos perfis de usuário por padrão, exceto para usuários com direitos de administrador. Ela também afeta extensões que utilizam senhas armazenadas em xobjects, dependendo dos direitos dessas páginas. Não há como ter 100% de certeza se essa vulnerabilidade foi explorada, pois um invasor com privilégios suficientes poderia ter excluído a revisão em que o xobject foi excluído após reverter a exclusão.

The issue is related to insufficient authentication checks for executed requests in the XWiki Platform, allowing cross-site request forgery. This can lead to remote code execution through script macros when a user with programming rights interacts with the platform, impacting the integrity, availability, and confidentiality of the XWiki installation. For regular cookie-based authentication, the issue is mitigated by SameSite cookie restrictions, but these are not enabled by default in Firefox and Safari as of March 2023.

The XWiki Platform is vulnerable to a cross-site scripting (XSS) attack, allowing users to inject JavaScript into a page by forging a URL with a payload. This can be exploited using the deletespace template, for example, by using a URL such as "xwiki/bin/deletespace/Sandbox/?xredirect=javascript:alert(document.domain)". The vulnerability exists since XWiki 3.4-milestone-1.

The issue allows users to forge a URL with a payload that injects Javascript into the page, enabling a cross-site scripting (XSS) attack. This can be exploited using the DeleteApplication page. For example, a URL such as "xwiki/bin/view/AppWithinMinutes/DeleteApplication?appName=Menu&resolve=true&xredirect=javascript:alert(document.domain)" can be used. The vulnerability exists due to the lack of measures to neutralize alternative XSS syntax.

The XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. It's possible to break many translations coming from wiki pages by creating a corrupted document containing a translation object, leading to a broken page.

O problema está relacionado à falta de autorização no método `setDisabledStatus` da classe `User`, permitindo que usuários com apenas direitos de Script habilitem ou desabilitem outros usuários. Essa operação deve ser restrita a usuários com direitos de administrador.

A vulnerabilidade permite que usuários comuns criem SSX/JSX globais sem direitos específicos. Em teoria, apenas usuários com direitos de programação deveriam ter permissão para criar SSX ou JSX que sejam executados em toda a wiki. No entanto, um bug permite que qualquer pessoa com direitos de edição crie esses arquivos.

O problema está relacionado a um vetor de cross-site scripting (XSS) no modelo `registerinline.vm`, especificamente no campo oculto `xredirect`. Esse modelo é usado quando o wiki está aberto para registro por qualquer pessoa e fechado para visualização por usuários convidados, ou quando a página XWiki.Registration está restrita à visualização por usuários convidados. Os administradores podem obter a segunda condição marcando a caixa “Impedir que usuários não registrados visualizem páginas, independentemente dos direitos da página” nos direitos de administração.

É possível determinar se um usuário possui uma conta em um wiki associada a um endereço de e-mail e quais nomes de usuário estão vinculados a esse e-mail, falsificando uma solicitação na página “Esqueci meu nome de usuário”. Isso se deve à falta de uma verificação CSRF nessa página, facilitando a realização de múltiplas solicitações.

O formulário de redefinição de senha revela o endereço de e-mail dos usuários apenas com a inserção do nome de usuário. O problema foi corrigido na versão XWiki 13.2RC1.

Existe uma vulnerabilidade na Plataforma XWiki em que o método de serviço de script usado para redefinir o registro de falhas de autenticação pode ser executado por qualquer usuário com direitos de Script, sem a necessidade de direitos de Programação. Isso permite que um invasor com direitos de script realize potencialmente um ataque de força bruta ao redefinir o registro de falhas de autenticação, desativando efetivamente o mecanismo destinado a mitigar tais ataques.

A Plataforma XWiki, especificamente quando a API de Avaliações está instalada, expõe uma API que permite a execução de consultas SQL sem escapar adequadamente os argumentos de pesquisa `from` e `where`. Isso pode levar à injeção de scripts SQL para usuários com direitos de script no XWiki.