XWiki Annotation Displayer 存在任意代码执行漏洞-低调大师

XWiki Annotation Displayer 存在任意代码执行漏洞

2023-03-03 462

漏洞描述

XWiki 是一个开源的企业级 Wiki 平台，Annotation Displayer 是 XWiki 中的一个插件，用于在 XWiki 页面上显示注释和其他相关内容。

该项目受影响版本存在任意代码执行漏洞，由于Annotation Displayer 对 Groovy 宏的使用没有限制，具有注释编辑权限或者页面编辑权限的攻击者可在注释中注入 Groovy 宏来执行任意代码，进而危害系统安全。

漏洞名称	XWiki Annotation Displayer 存在任意代码执行漏洞
漏洞类型	命令注入
发现时间	2023-03-03
漏洞影响广度	小
MPS编号	MPS-2023-5560
CVE编号	CVE-2023-26475
CNVD编号	-

影响范围

org.xwiki.platform:xwiki-platform-oldcore@[14.0-rc-1, 14.4.7)

org.xwiki.platform:xwiki-platform-oldcore@[3.1-milestone-1, 13.10.11)

org.xwiki.platform:xwiki-platform-oldcore@[14.5, 14.10)

修复方案

将 org.xwiki.platform:xwiki-platform-annotation-ui 升级至 13.10.11、14.4.7 、 14.10 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-5560

https://nvd.nist.gov/vuln/detail/CVE-2023-26475

https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-h6f5-8jj5-cxhr

https://github.com/xwiki/xwiki-platform/commit/d87d7bfd8db18c20d3264f98c6deefeae93b99f7、 Commit

https://jira.xwiki.org/browse/XWIKI-20384

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/230926

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

GitLab 存储型XSS漏洞

漏洞描述 GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台。在GitLab受影响版本中存在存储型XSS漏洞，由于Kroki过滤器中对接收的image_src过滤不严，攻击者可通过恶意构造的Kroki图表，当用户访问该图表时，即可触发恶意代码，进行执行任意JS代码。漏洞名称 GitLab 存储型XSS漏洞漏洞类型跨站脚本发现时间 2023-03-03 漏洞影响广度广 MPS编号 MPS-2023-0208 CVE编号 CVE-2023-0050 CNVD编号 - 影响范围 GitLab CE@[13.7, 15.7.8) GitLab CE@[15.8, 15.8.4) GitLab CE@[15.9, 15.9.2) GitLab EE@[15.9, 15.9.2) GitLab EE@[15.8, 15.8.4) GitLab EE@[13.7, 15.7.8) 修复方案将组件 GitLab EE 升级至 15.7.8 及以上版本将组件 GitLab CE 升级至 15.7.8 及以上版本将组件 GitLab CE 升级至 15.8.4 及以上...

2023-03-03

375

OpenAI 为自家两个 AI 模型：自然语言对话模型 ChatGPT 和语音转文本模型 Whisper 推出了开发者API，这些 API 允许开发人员将 AI 模型集成到自己的应用程序中，扩展其功能或添加新功能。火热得一塌糊涂的 ChatGPT 自然不用过多介绍，它是一款自然语言对话模型，可以进行日常对话。自去年 12 月发布以来， OpenAI 不断对ChatGPT进行系统范围优化，至今已降低了 90% 成本。此次推出的新 ChatGPT API 叫 “gpt-3.5-turbo”，对比此前的 GPT-3.5 型号，其价格直接打了一折 —— 每1,000个令牌（约 750 个单词）的价格为 0.002 美元。 ChatGPT API 的早期用户包括 Shopify 、Snapchat、Quizlet 和 Instacart 等等。Snapchat 已经将该技术集成到其“我的AI”机器人中，而 Quizlet 则为其在线学习工具创建了虚拟导师功能，Instacart 则是用 AI 解决了所有人都要面对的世纪难题：《中午吃什么》。另一个 API ： Whisper 则是 2022...

2023-03-03

347

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。