🇰🇷 한글 설명
XWiki 11.10.5 또는 12.2.1 이전 버전에서 SCRIPT 권한을 가진 사용자가 애플리케이션 서버의 Servlet 컨텍스트에 접근할 수 있는 취약점입니다. 이를 통해 임의의 Java 객체를 생성하고 메서드를 호출하여 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
특정 권한을 가진 사용자가 시스템의 핵심 제어권을 획득하여 악성 프로그램을 실행할 수 있는 보안 약점입니다. 권한이 있는 사용자가 시스템 전체를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
In XWiki before versions 11.10.5 or 12.2.1, any user with SCRIPT right (EDIT right before XWiki 7.4) can gain access to the application server Servlet context which contains tools allowing to instantiate arbitrary Java objects and invoke methods that may lead to arbitrary code execution. The only workaround is to give SCRIPT right only to trusted users.
📍 영향받는 시스템
XWiki 11.10.5 및 12.2.1 미만 버전
⚔️ 공격 벡터
SCRIPT 권한을 가진 사용자가 Servlet 컨텍스트를 통해 임의의 Java 메서드 호출
🛡️ 대응 방법
XWiki를 최신 보안 패치 버전(11.10.5 또는 12.2.1 이상)으로 업데이트하거나 SCRIPT 권한을 신뢰할 수 있는 사용자에게만 제한함
🔧 검증 코드
출력된 XWiki 버전 정보가 취약한 버전 범위(11.10.5 미만 또는 12.2.1 미만)에 해당하는지 확인합니다.
curl -s http://<target-ip>/xwiki/bin/view/Main/ | grep -E 'XWiki version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server