一、 漏洞 CVE-2023-50723 基础信息
漏洞标题
"XWiki平台从任何用户账户授予远程代码执行/编程权限的配置文件部分"
来源：AIGC 神龙大模型
漏洞描述信息
XWiki平台是一个通用的Wiki平台。从2.3开始，以及14.10.15、15.5.2和15.7-rc-1版本之前，任何在XWiki安装中能够编辑任意Wiki页面的用户都可以通过代码中多个缺少 escaping 的情况获得编程权限，从而影响整个XWiki安装的保密性、完整性和可用性。通常情况下，所有用户都允许编辑自己的用户配置文件，因此这个漏洞应该可以被所有XWiki实例的用户使用。这个问题已经在XWiki 14.10.15、15.5.2和15.7RC1版本中修复。补丁可以手动应用于`XWiki.ConfigurableClassMacros`和`XWiki.ConfigurableClass`页面。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：AIGC 神龙大模型
漏洞标题
XWiki Platform remote code execution/programming rights with configuration section from any user account
来源：美国国家漏洞数据库 NVD
漏洞描述信息
XWiki Platform is a generic wiki platform. Starting in 2.3 and prior to versions 14.10.15, 15.5.2, and 15.7-rc-1, anyone who can edit an arbitrary wiki page in an XWiki installation can gain programming right through several cases of missing escaping in the code for displaying sections in the administration interface. This impacts the confidentiality, integrity and availability of the whole XWiki installation. Normally, all users are allowed to edit their own user profile so this should be exploitable by all users of the XWiki instance. This has been fixed in XWiki 14.10.15, 15.5.2 and 15.7RC1. The patches can be manually applied to the `XWiki.ConfigurableClassMacros` and `XWiki.ConfigurableClass` pages.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
动态执行代码中指令转义处理不恰当(Eval注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
XWiki Platform 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
XWiki Platform是XWiki基金会的一套用于创建Web协作应用程序的Wiki平台。 XWiki Platform 存在安全漏洞，该漏洞源于在管理界面中，任何可以在 XWiki 安装中编辑任意 wiki 页面的人都可以通过显示部分的代码中缺少转义的几种情况来获得编程权限。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2023-50723 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2023-50723 的情报信息