Макрос XWiki Full Calendar отображает объекты из вики в календаре. До версии 2.4.6 пользователи с правами на просмотр страницы Calendar.JSONService (включая гостевых пользователей) могли воспользоваться уязвимостью утечки данных, получив доступ к информации базы данных, за исключением паролей. Эта проблема исправлена в версии 2.4.6.
Показать оригинальное описание (EN)
XWiki Full Calendar Macro displays objects from the wiki on the calendar. Prior to version 2.4.6, users with the rights to view the Calendar.JSONService page (including guest users) can exploit the data leak vulnerability by accessing database info, with the exception of passwords. This issue has been patched in version 2.4.6.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Xwiki Full_Calendar_Macro
cpe:2.3:a:xwiki:full_calendar_macro:*:*:*:*:*:xwiki:*:*
|
— |
2.4.6
|