🇰🇷 한글 설명
XWiki 플랫폼의 페이지 리비전 비교 화면에 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 조작한 입력으로 사용자 브라우저에서 임의의 JavaScript가 실행될 수 있습니다. 관리자 계정이 공격당하면 XWiki 인스턴스 전체의 기밀성, 무결성, 가용성이 위협받을 수 있습니다.
💡 쉬운 설명
위키 페이지의 변경 내역을 비교하는 기능에 보안 결함이 있어, 악의적인 링크를 누르면 공격자의 코드가 사용자 브라우저에서 실행될 수 있습니다. 관리자가 당하면 위키 전체가 위험해집니다.
🇺🇸 원문 (English)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Versions 10.4-rc-1, through 16.10.15, 17.0.0-rc-1, through 17.4.7 and 17.5.0-rc-1 through 17.10.0 contain a reflected cross-site scripting vulnerability (XSS) in the comparison view between revisions of a page allows executing JavaScript code in the user's browser. If the current user is an admin, this can not only affect the current user but also the confidentiality, integrity and availability of the whole XWiki instance. If developers are unable to update immediately, they can apply the patch manually to templates/changesdoc.vm in the deployed WAR.
📍 영향받는 시스템
XWiki Platform 10.4-rc-1~16.10.15, 17.0.0-rc-1~17.4.7, 17.5.0-rc-1~17.10.0
⚔️ 공격 벡터
공격자가 리비전 비교 URL에 악성 스크립트를 삽입한 링크를 만들어 관리자 등 사용자가 클릭하도록 유도
🛡️ 대응 방법
XWiki를 패치된 버전으로 업데이트하거나, 배포된 WAR 내 templates/changesdoc.vm 파일에 제공된 패치를 수동 적용
🔧 검증 코드
출력된 xwiki-platform 버전이 17.10.1 이상, 17.4.8 이상, 16.10.16 이상 등 수정 버전인지 확인하고, 취약 범위에 해당하면 업데이트 또는 패치 적용이 필요합니다.
unzip -p xwiki.war WEB-INF/lib/xwiki-platform-*.jar 2>/dev/null | head -c 0; find / -name 'xwiki*.war' 2>/dev/null -exec unzip -l {} \; | grep -i 'xwiki-platform-' | head -5