Vulnerabilidad en XWiki Change Request (CVE-2023-49280)

XWiki Change Request es una aplicación XWiki que permite solicitar cambios en una wiki sin publicar directamente los cambios. Change Request permite editar cualquier página de forma predeterminada y luego los cambios se exportan en un archivo XML que cualquiera puede descargar. Por lo tanto, es posible que un atacante obtenga el hash de contraseña de los usuarios realizando una edición en los perfiles de usuario y luego descargando el archivo XML que se ha creado. Esto también se aplica a cualquier documento que pueda contener un campo de contraseña y que un usuario pueda ver. Esta vulnerabilidad afecta a todas las versiones de Change Request, pero el impacto depende de los derechos que se hayan establecido en el wiki, ya que requiere que el usuario tenga el derecho de Change Request (permitido de forma predeterminada) y derechos de visualización en la página de destino. Este problema no se puede explotar fácilmente de forma automatizada. El parche consiste en negar a los usuarios el derecho de editar páginas que contengan un campo de contraseña con Change Request. Significa que el parche no eliminará las solicitudes de cambio ya existentes para esas páginas, los administradores deben encargarse de ello. El parche se proporciona en la Change Request 1.10; los administradores deben actualizarlo de inmediato. Es posible solucionar la vulnerabilidad denegando manualmente Change Request en algunos espacios, como el espacio XWiki, que incluirá cualquier perfil de usuario de forma predeterminada.