محققان امنیتی موفق به کشف یک آسیب‌پذیری حیاتی با شناسه CVE-2024-21650 و شدت 10.0 در پلتفرم xwiki شده‌اند. xwiki یک پلتفرم ویکی متن باز عمومی است که سرویس‌های زمان اجرا را برای برنامه‌ها ارائه می‌کند. آسیب‌پذیری کشف شده به مهاجم اجازه می‌دهد تا کد دلخواه را با ایجاد اطلاعات مخرب در قسمت‌های "نام" یا "نام خانوادگی" در هنگام ثبت نام کاربر اجرا کند. این آسیب‌پذیری به صورت تزریق کد جاوا به فیلدهایی که توسط موتور xwiki پشتیبانی می‌شود، کار می‌کند و روی تمام نسخه‌های در حال اجرایی که ثبت کاربر برای کاربران مهمان فعال است، برای مهاجم قابل بهره‌برداری است. مهاجم می‌تواند از متغیر $services برای دسترسی به مؤلفه‌های مختلف پلتفرم XWiki استفاده کند، نمونه آن، مؤلفه Execution است که امکان اجرای اسکریپت را در زبان‌های مختلف فراهم می‌کند و لذا خطرات امنیتی قابل توجهی دارد.
به عنوان نمونه، می‌توان به عنوان "نام" کاربر، اطلاعاتی را در هنگام ثبت نام وارد کرد. این موضوع باعث می‌شود که سرور XWiki، پیام خطایی با محتوای "ERROR" برگرداند. در این شرایط، مهاجم می‌تواند کد Groovy دلخواه را روی سرور اجرا کند.
در مثال بعدی، کد مخرب را می‌توان به عنوان "نام خانوادگی" یک کاربر در هنگام ثبت نام وارد کرد. این ورود اطلاعات، باعث می‌شود سرور XWiki کد Groovy را با عنوان "Xwiki RCE" و بدنه "شما هک شده‌اید" اجرا کند. این موضوع نشان می‌دهد که مهاجم می‌تواند به خدمات XWiki دسترسی داشته باشد و اقدامات مخرب انجام دهد.
محصولات تحت تأثیر
نسخه 2.2 این پلتفرم تحت تأثیر این آسیب‌پذیری قرار دارد.
توصیه‌های امنیتی
به کاربران توصیه می‌شود برای رفع آسیب‌پذیری مذکور، xwiki را به نسخه‌های وصله شده زیر ارتقاء دهند:
• 14.10.17
• 15.5.3
• 15.8RC1
منابع خبر:
[1] https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-rj7p-xjv7-7229
[2] https://jira.xwiki.org/browse/XWIKI-21173
[3]https://github.com/xwiki/xwikiplatform/commit/b290bfd573c6f7db6cc15a88dd4111d9fcad0d31
- 31