Макрос XWiki Full Calendar отображает объекты из вики в календаре. До версии 2.4.5 пользователи с правом просмотра страницы Calendar.JSONService (включая гостевых пользователей) могли использовать уязвимость SQL-инъекции, получая доступ к информации о базе данных или запуская DoS-атаку. Эта проблема исправлена в версии 2.4.5.
Показать оригинальное описание (EN)
XWiki Full Calendar Macro displays objects from the wiki on the calendar. Prior to version 2.4.5, users with the right to view the Calendar.JSONService page (including guest users) can exploit a SQL injection vulnerability by accessing database info or starting a DoS attack. This issue has been patched in version 2.4.5.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Xwiki Full_Calendar_Macro
cpe:2.3:a:xwiki:full_calendar_macro:*:*:*:*:*:xwiki:*:*
|
— |
2.4.5
|