注目★★★★★GitHub Advisory
XWiki、ページ編集権から脚本実行権へ昇格する脆弱性 (CVSS 8.8)
30秒で把握
- 1XWiki Platform のページ編集権ユーザが Live Data API 経由でスクリプト実行権を昇格取得可能
- 2権限昇格後は任意の Velocity スクリプト実行とフィルタリングされない HTML/JS 送信が可能になる
- 3XWiki 16.10.17/17.4.10/17.10.4/18.1.0 以降にアップグレード、ページ編集権の最小化を実施すべき
要約
XWiki Platform に権限昇格の脆弱性が確認された。ページ編集権を持つユーザが Live Data の編集 REST API を経由してページ権限を変更でき、スクリプト実行権を獲得できる。スクリプト実行権を取得したユーザは任意の Velocity スクリプトを実行でき、フィルタリングされない HTML/JavaScript をクライアントに送信できる。XWiki 16.10.17、17.4.10、17.10.4、18.1.0 以降でパッチが適用された。
あなたへの影響
XWiki を自社運用またはホスト版を利用するチームは、上記バージョン以上への即時アップグレードが必要。
推奨：ページ編集権限を持つユーザ (特に外部ユーザや自動化スクリプト) がいる場合は、本パッチ適用後もアクセス権を見直し、不要な編集権を削除することを推奨。