🇰🇷 한글 설명
XWiki 12.5 및 11.10.6 이전 버전에서 SCRIPT 권한을 가진 사용자가 애플리케이션 서버의 Servlet context에 접근할 수 있는 취약점입니다. 이를 통해 임의의 Java 객체를 생성하고 메서드를 호출하여 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
권한을 가진 사용자가 시스템의 핵심 제어권을 탈취하여 악성 프로그램을 실행할 수 있는 보안 약점입니다. 해커가 서버를 완전히 장악할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
In XWiki before version 12.5 and 11.10.6, any user with SCRIPT right (EDIT right before XWiki 7.4) can gain access to the application server Servlet context which contains tools allowing to instantiate arbitrary Java objects and invoke methods that may lead to arbitrary code execution. This is patched in XWiki 12.5 and XWiki 11.10.6.
📍 영향받는 시스템
XWiki versions before 12.5 and 11.10.6
⚔️ 공격 벡터
SCRIPT 권한을 이용한 Servlet context 접근 및 Java 객체 인스턴스화
🛡️ 대응 방법
XWiki를 12.5 또는 11.10.6 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 XWiki 버전이 12.5 또는 11.10.6 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target_ip>/xwiki/bin/view/Main/ | grep -E 'XWiki version' || echo 'Version check required via manual inspection'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server