CVE-2024-37898

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. When a user has view but not edit right on a page in XWiki, that user can delete the page and replace it by a page with new content without having delete right. The previous version of the page is moved into the recycle bin and can be restored from there by an admin. As the user is recorded as deleter, the user would in theory also be able to view the deleted content, but this is not directly possible as rights of the previous version are transferred to the new page and thus the user still doesn't have view right on the page. It therefore doesn't seem to be possible to exploit this to gain any rights. This has been patched in XWiki 14.10.21, 15.5.5 and 15.10.6 by cancelling save operations by users when a new document shall be saved despite the document's existing already.
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:*
cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:*
cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:*
cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:*
cpe:2.3:a:xwiki:xwiki:15.0:-:*:*:*:*:*:*

History

06 Sep 2024, 21:16

Type Values Removed Values Added
References () https://github.com/xwiki/xwiki-platform/commit/0bc27d6ec63c8a505ff950e2d1792cb4f773c22e - () https://github.com/xwiki/xwiki-platform/commit/0bc27d6ec63c8a505ff950e2d1792cb4f773c22e - Patch
References () https://github.com/xwiki/xwiki-platform/commit/56f5d8aab7371d5ba891168f73890806551322c5 - () https://github.com/xwiki/xwiki-platform/commit/56f5d8aab7371d5ba891168f73890806551322c5 - Patch
References () https://github.com/xwiki/xwiki-platform/commit/c5efc1e519e710afdf3c5f40c0fcc300ad77149f - () https://github.com/xwiki/xwiki-platform/commit/c5efc1e519e710afdf3c5f40c0fcc300ad77149f - Patch
References () https://github.com/xwiki/xwiki-platform/commit/e4968fe268e5644ffd9bfa4ef6257d2796446009 - () https://github.com/xwiki/xwiki-platform/commit/e4968fe268e5644ffd9bfa4ef6257d2796446009 - Patch
References () https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-33gp-gmg3-hfpq - () https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-33gp-gmg3-hfpq - Vendor Advisory
References () https://jira.xwiki.org/browse/XWIKI-21553 - () https://jira.xwiki.org/browse/XWIKI-21553 - Issue Tracking
First Time Xwiki
Xwiki xwiki
CPE cpe:2.3:a:xwiki:xwiki:15.0:-:*:*:*:*:*:*
cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:*

01 Aug 2024, 12:42

Type Values Removed Values Added
Summary
  • (es) XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. Cuando un usuario tiene derecho de ver pero no de editar en una página en XWiki, ese usuario puede eliminar la página y reemplazarla por una página con contenido nuevo sin tener derecho de eliminación. La versión anterior de la página se mueve a la papelera de reciclaje y un administrador puede restaurarla desde allí. Como el usuario está registrado como eliminador, en teoría el usuario también podría ver el contenido eliminado, pero esto no es directamente posible ya que los derechos de la versión anterior se transfieren a la nueva página y, por lo tanto, el usuario aún no puede verlo. justo en la página. Por lo tanto, no parece posible explotar esto para obtener ningún derecho. Esto se ha parcheado en XWiki 14.10.21, 15.5.5 y 15.10.6 cancelando las operaciones de guardado por parte de los usuarios cuando se guarda un nuevo documento a pesar de que ya existe.

31 Jul 2024, 16:15

Type Values Removed Values Added
New CVE

Information

Published : 2024-07-31 16:15

Updated : 2024-09-06 21:16


NVD link : CVE-2024-37898

Mitre link : CVE-2024-37898

CVE.ORG link : CVE-2024-37898


JSON object : View

Products Affected

xwiki

  • xwiki
CWE
CWE-862

Missing Authorization