FICHE CVE

CVE-2024-52299

Publiée le 2024-11-13 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations XWiki utilisant l'extension macro-pdfviewer sont affectées par une faille dans la manière dont les clés d'accès aux fichiers sont calculées. Un attaquant distant non authentifié peut contourner les contrôles de sécurité pour télécharger n'importe quelle pièce jointe stockée dans le wiki. Cette opération est facile à exécuter car elle ne nécessite aucun privilège spécial ni interaction de la part de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-340

Publiée2024-11-13

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

macro-pdfviewer is a PDF Viewer Macro for XWiki using Mozilla pdf.js. Any user with view right on XWiki.PDFViewerService can access any attachment stored in the wiki as the "key" that is passed to prevent this is computed incorrectly, calling skip on the digest stream doesn't update the digest. This is fixed in 2.5.6.