Vulnerabilidad en XWiki Platform (CVE-2024-37899)

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. Cuando un administrador desactiva una cuenta de usuario, el perfil del usuario se ejecuta con los derechos de administrador. Esto permite a un usuario colocar código malicioso en el perfil de usuario antes de que un administrador desactive la cuenta de usuario. Para reproducir, como usuario sin script ni derechos de programación, edite la sección Acerca de de su perfil de usuario y agregue `{{groovy}}services.logging.getLogger("attacker").error("Hello from Groovy!"){{ /maravilloso}}`. Como administrador, vaya al perfil de usuario y haga clic en el botón "Desactivar esta cuenta". Luego, recarga la página. Si los registros muestran "atacante - ¡Hola desde Groovy!", entonces la instancia es vulnerable. Esto ha sido parcheado en XWiki 14.10.21, 15.5.5, 15.10.6 y 16.0.0. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad. ### Workarounds no conocemos ningún workarounds excepto la actualización. ### Referencias * https://jira.xwiki.org/browse/XWIKI-21611 * https://github.com/xwiki/xwiki-platform/commit/f89c8f47fad6e5cc7e68c69a7e0acde07f5eed5a