CVE-2024-21648
Publiée le 2024-01-09 · Dernière modification le 2026-06-17
Les installations XWiki sont affectées par une faille dans la fonctionnalité de restauration des pages, qui permet à un utilisateur de restaurer une version antérieure d'une page pour récupérer des permissions qu'il ne possède plus. Un attaquant disposant d'un compte utilisateur basique peut exploiter cette vulnérabilité via le réseau pour obtenir un accès non autorisé à des données sensibles ou un contrôle administratif. La réussite de l'attaque nécessite un faible niveau d'effort, bien qu'elle dépende d'une interaction utilisateur spécifique pour déclencher la restauration.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. The rollback action is missing a right protection, a user can rollback to a previous version of the page to gain rights they don't have anymore. The problem has been patched in XWiki 14.10.17, 15.5.3 and 15.8-rc-1 by ensuring that the rights are checked before performing the rollback.