🇰🇷 한글 설명
XWiki AdminTools의 관리 도구 통합 과정에서 관리자 권한이 없는 사용자도 AdminTools.SpammedPages 페이지에 접근할 수 있는 취약점이 발견되었습니다. 비관리자에게 데이터가 직접 노출되지는 않으나, 해당 페이지에 접근할 수 있다는 점이 보안상 문제가 됩니다. 이 문제는 버전 1.1에서 패치되었습니다.
💡 쉬운 설명
관리자만 볼 수 있어야 하는 관리 도구 페이지를 일반 사용자도 찾아 들어갈 수 있는 문제입니다. 실제 중요한 정보가 바로 보이는 것은 아니지만, 허용되지 않은 페이지에 접근할 수 있는 보안 허점이 존재합니다.
🇺🇸 원문 (English)
XWiki AdminTools integrates administrative tools for managing a running XWiki instance. Prior to version 1.1, users without admin rights have access to AdminTools.SpammedPages. View rights are not restricted only to admin users for AdminTools.SpammedPages. While no data is visible to non admin users, the page is still accessible. This issue has been patched in version 1.1. A workaround involves setting the view rights for the AdminTools space to be only available for the XWikiAdminGroup.
📍 영향받는 시스템
XWiki AdminTools version 1.1 미만 버전
⚔️ 공격 벡터
권한이 없는 사용자가 URL 직접 입력 등을 통해 AdminTools.SpammedPages 페이지에 접근
🛡️ 대응 방법
XWiki를 1.1 버전 이상으로 업데이트하거나, AdminTools 공간의 보기 권한을 XWikiAdminGroup으로만 제한
🔧 검증 코드
명령어 실행 시 'Vulnerable'이 출력되면 해당 페이지에 접근 가능한 취약한 상태이며, 그렇지 않으면 안전한 상태입니다.
curl -s http://<target_url>/xwiki/bin/view/AdminTools/SpammedPages | grep -q '<html>' && echo 'Vulnerable' || echo 'Not Vulnerable'