[TLP:CLEAR] XWiki opravuje 2 zraniteľnosti
XWiki verziami 16.10.1, 16.4.6 a 15.10.16 opravuje 2 zraniteľnosti [1][2].
Autentizovanému vzdialenému útočníkovi so SCRIPT oprávnením je umožnené vykonať SQL injection útok, čím môže získať prístup k citlivým údajom, ako sú hashe hesiel. V závislosti od použitej databázy je útočníkovi potenciálne umožnené hashe hesiel aj meniť. PoC je možné nájsť na [1].
Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=1.6 AND <15.10.16) OR (>=16.4 AND <16.4.6) OR (>=16.10 AND <16.10.1).
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-32968 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 23. 4. 2025.
Neautentizovanému vzdialenému útočníkovi je s využitím REST API umožnené vykonať SQL injection útok, čím môže získať prístup k citlivým údajom, ako sú hashe hesiel, a to aj v prípade, že bol obmedzený prístup neautentizovaným používateľom k zobrazovaniu a editácii web stránok. V závislosti od použitej databázy je útočníkovi potenciálne umožnené hashe hesiel aj meniť. PoC je možné nájsť na [2].
Zraniteľnosť sa nachádza v produkte XWiki vo verziách (>=1.8 AND <15.10.16) OR (>=16.4 AND <16.4.6) OR (>=16.10 AND <16.10.1).
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-32969 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 23. 4. 2025.
Odkazy
Za CESNET-CERTS Martin Krajči dňa 25. 4. 2025.
