XWiki Annotation Displayer 存在任意代码执行漏洞-低调大师

XWiki Annotation Displayer 存在任意代码执行漏洞

2023-03-03 494

漏洞描述

XWiki 是一个开源的企业级 Wiki 平台，Annotation Displayer 是 XWiki 中的一个插件，用于在 XWiki 页面上显示注释和其他相关内容。

该项目受影响版本存在任意代码执行漏洞，由于Annotation Displayer 对 Groovy 宏的使用没有限制，具有注释编辑权限或者页面编辑权限的攻击者可在注释中注入 Groovy 宏来执行任意代码，进而危害系统安全。

漏洞名称	XWiki Annotation Displayer 存在任意代码执行漏洞
漏洞类型	命令注入
发现时间	2023-03-03
漏洞影响广度	小
MPS编号	MPS-2023-5560
CVE编号	CVE-2023-26475
CNVD编号	-

影响范围

org.xwiki.platform:xwiki-platform-oldcore@[14.0-rc-1, 14.4.7)

org.xwiki.platform:xwiki-platform-oldcore@[3.1-milestone-1, 13.10.11)

org.xwiki.platform:xwiki-platform-oldcore@[14.5, 14.10)

修复方案

将 org.xwiki.platform:xwiki-platform-annotation-ui 升级至 13.10.11、14.4.7 、 14.10 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-5560

https://nvd.nist.gov/vuln/detail/CVE-2023-26475

https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-h6f5-8jj5-cxhr

https://github.com/xwiki/xwiki-platform/commit/d87d7bfd8db18c20d3264f98c6deefeae93b99f7、 Commit

https://jira.xwiki.org/browse/XWIKI-20384

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/230926

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

GitLab 存储型XSS漏洞

漏洞描述 GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台。在GitLab受影响版本中存在存储型XSS漏洞，由于Kroki过滤器中对接收的image_src过滤不严，攻击者可通过恶意构造的Kroki图表，当用户访问该图表时，即可触发恶意代码，进行执行任意JS代码。漏洞名称 GitLab 存储型XSS漏洞漏洞类型跨站脚本发现时间 2023-03-03 漏洞影响广度广 MPS编号 MPS-2023-0208 CVE编号 CVE-2023-0050 CNVD编号 - 影响范围 GitLab CE@[13.7, 15.7.8) GitLab CE@[15.8, 15.8.4) GitLab CE@[15.9, 15.9.2) GitLab EE@[15.9, 15.9.2) GitLab EE@[15.8, 15.8.4) GitLab EE@[13.7, 15.7.8) 修复方案将组件 GitLab EE 升级至 15.7.8 及以上版本将组件 GitLab CE 升级至 15.7.8 及以上版本将组件 GitLab CE 升级至 15.8.4 及以上...

2023-03-03

420

OpenAI 为自家两个 AI 模型：自然语言对话模型 ChatGPT 和语音转文本模型 Whisper 推出了开发者API，这些 API 允许开发人员将 AI 模型集成到自己的应用程序中，扩展其功能或添加新功能。火热得一塌糊涂的 ChatGPT 自然不用过多介绍，它是一款自然语言对话模型，可以进行日常对话。自去年 12 月发布以来， OpenAI 不断对ChatGPT进行系统范围优化，至今已降低了 90% 成本。此次推出的新 ChatGPT API 叫 “gpt-3.5-turbo”，对比此前的 GPT-3.5 型号，其价格直接打了一折 —— 每1,000个令牌（约 750 个单词）的价格为 0.002 美元。 ChatGPT API 的早期用户包括 Shopify 、Snapchat、Quizlet 和 Instacart 等等。Snapchat 已经将该技术集成到其“我的AI”机器人中，而 Quizlet 则为其在线学习工具创建了虚拟导师功能，Instacart 则是用 AI 解决了所有人都要面对的世纪难题：《中午吃什么》。另一个 API ： Whisper 则是 2022...

2023-03-03

381

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。