CVE-2024-37898: XWiki Platform vulnerable to document deletion and overwrite from edit
Оценка Noroxi
Приоритет: Наблюдать (оценка срочности 17/100)
- В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
- Вероятность эксплуатации в ближайшие 30 дней: 0,39% (FIRST EPSS).
- Может быть вызвана любым, у кого есть доступ через интернет. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- Исправленная версия: org.xwiki.platform:xwiki-platform-oldcore (Maven) 14.10.21, 15.5.5, 15.10.6.
Пока низкий приоритет. Обновитесь до org.xwiki.platform:xwiki-platform-oldcore (Maven) 14.10.21, 15.5.5, 15.10.6 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. When a user has view but not edit right on a page in XWiki, that user can delete the page and replace it by a page with new content without having delete right. The previous version of the page is moved into the recycle bin and can be restored from there by an admin. As the user is recorded as deleter, the user would in theory also be able to view the deleted content, but this is not directly possible as rights of the previous version are transferred to the new page and thus the user still doesn't have view right on the page. It therefore doesn't seem to be possible to exploit this to gain any rights. This has been patched in XWiki 14.10.21, 15.5.5 and 15.10.6 by cancelling save operations by users when a new document shall be saved despite the document's existing already.
- Опубликовано
- 31 июл. 2024 г.
- Обновлено
- 17 июн. 2026 г.
- EPSS
- 0,3 % · 34-й процентиль
- CWE
- CWE-862
Инструменты для отчёта
Оценка срочности
17
Наблюдать
Пока низкий приоритет.
- CVSS
- 17 / 40 · 4.3 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 0 / 30 · 0,3 %
Решение CISA SSVC
- Эксплуатация
- нет
- Автоматизируемо
- нет
- Техническое влияние
- частичное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- 4,3
- CNA · GitHub_M
- 4,3
- совпадают
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Публичного эксплойта нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| xwiki | xwiki | cpe:2.3:a:xwiki:xwiki |
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- xwiki xwiki13.10.4 и новее · до 14.0
- xwiki xwiki14.2 и новее · до 14.10.21
- xwiki xwikiпосле 15.0 · до 15.5.5
- xwiki xwiki15.6 и новее · до 15.10.6
- xwiki xwiki15.0
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.
xwiki xwiki-platform
- >= 13.10.4, < 14.0-rc-1, >= 14.2, < 14.10.21, >= 15.0, < 15.5.5, >= 15.6-rc-1, < 15.10.6затронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Maven | org.xwiki.platform:xwiki-platform-oldcore | с 13.10.4 · до 14.10.21 | 14.10.21 |
| Maven | org.xwiki.platform:xwiki-platform-oldcore | с 14.2 · до 14.10.21 | 14.10.21 |
| Maven | org.xwiki.platform:xwiki-platform-oldcore | с 15.0 · до 15.5.5 | 15.5.5 |
| Maven | org.xwiki.platform:xwiki-platform-oldcore | с 15.6-rc-1 · до 15.10.6 | 15.10.6 |
Тот же продукт
xwiki: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2025-24893Remote code execution as guest via SolrSearchMacros request in xwikiKEV99Срочно
- CVE-2024-21650XWiki Remote Code Execution vulnerability via user registration67На этой неделе
- CVE-2023-46731Remote code execution through the section parameter in Administration as guest in XWiki Platform66На этой неделе
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2024-3789920 июн. 2024 г. · Disabling a user account changes its author, allowing RCE from user account in XWiki32Наблюдать
- ← РаньшеCVE-2024-3836924 июн. 2024 г. · XWiki programming rights may be inherited by inclusion17Наблюдать
- Позже →CVE-2024-3790031 июл. 2024 г. · XWiki Platform vulnerable to Cross-site Scripting through attachment filename in uploader23Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| Maven:org.xwiki.platform:xwiki-platform-oldcore | 14.10.21 | Реестр пакетов (OSV) |
| Maven:org.xwiki.platform:xwiki-platform-oldcore | 15.10.6 | Реестр пакетов (OSV) |
| Maven:org.xwiki.platform:xwiki-platform-oldcore | 15.5.5 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Истории пока нет (накапливается ежедневным заданием EPSS).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2024-31997с разницей 112 дн.XWiki Platform remote code execution from account through UIExtension parameters57В плане
- CVE-2025-32973с разницей 273 дн.org.xwiki.platform:xwiki-platform-component-wiki provides no warning when granting XWiki.ComponentClass programming right36Наблюдать
- CVE-2024-31981с разницей 112 дн.XWiki Platform: Privilege escalation (PR) from user registration through PDFClass35Наблюдать
- CVE-2024-31983с разницей 112 дн.XWiki Platform: Remote code execution from edit in multilingual wikis via translations35Наблюдать
- CVE-2024-31987с разницей 112 дн.XWiki Platform remote code execution from account via custom skins support35Наблюдать
- CVE-2024-55879с разницей 134 дн.XWiki allows RCE from script right in configurable sections35Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Достаточно учётной записи с низкими привилегиями.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- нет
- Целостность
- низкое · данные или конфигурация могут быть изменены
- Доступность
- нет
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Низкие
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Нет
- Влияние на целостность
- Низкое
- Влияние на доступность
- Нет
Класс уязвимости (CWE)
CWE-862 · Missing AuthorizationВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 5)Свернуть
- github.com/xwiki/xwiki-platform/commit/56f5d8aab7371d5ba891168f73890806551322c5
- github.com/xwiki/xwiki-platform/commit/c5efc1e519e710afdf3c5f40c0fcc300ad77149f
- github.com/xwiki/xwiki-platform/commit/e4968fe268e5644ffd9bfa4ef6257d2796446009
- github.com/xwiki/xwiki-platform/security/advisories/GHSA-33gp-gmg3-hfpq
- jira.xwiki.org/browse/XWIKI-21553
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.