КиберосноваSGRC
BDU:2024-00231
Высокий

BDU:2024-00231: Уязвимость платформы создания совместных веб-приложений XWiki Platform XWiki, связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольный код

CVSS v39.9
CVSS v29.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2024-00231

Описание

Уязвимость платформы создания совместных веб-приложений XWiki Platform XWiki связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Что делать с BDU:2024-00231

Высокая уязвимость (CVSS 9.9) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.9Критический
Пересчитать →
v2
9.0
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-94
CWE-95

CVE — международный идентификатор

CVE-2023-50723
CWE-94
Внедрение кода

Позволяет внедрить и выполнить произвольный код на стороне сервера.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод передаётся в eval(), exec() или шаблонизатор. Атакующий внедряет произвольный код.

Последствия

Выполнение произвольного кода на сервере, полный контроль.

Рекомендации

Никогда не используйте eval() с пользовательским вводом. Используйте песочницы и white-list.

Тактики и техники

Инъекция

Уязвимое ПО (4)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияXWiki Platformот 15.0 до 15.5.2Не указана
Сообщество свободного программного обеспеченияXWiki Platform15.6 rc1Не указана
Сообщество свободного программного обеспеченияXWiki Platform15.7 rc1Не указана
Сообщество свободного программного обеспеченияXWiki Platformот 2.3 до 14.10.5Не указана

Рекомендации по устранению

Использование рекомендаций: https://github.com/xwiki/xwiki-platform/commit/0f367aaae4e0696f61cf5a67a75edd27d1d16db6 https://github.com/xwiki/xwiki-platform/commit/1157c1ecea395aac7f64cd8a6f484b1225416dc7 https://github.com/xwiki/xwiki-platform/commit/749f6aee1bfbcf191c3734ea0aa9eba3aa63240e https://github.com/xwiki/xwiki-platform/commit/bd82be936c21b65dee367d558e3050b9b6995713 https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-qj86-p74r-7wp5 https://jira.xwiki.org/browse/XWIKI-21121 https://jira.xwiki.org/browse/XWIKI-21122 https://jira.xwiki.org/browse/XWIKI-21194

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.9

Уточните SLA под вашу среду

Базовый балл 9.9 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации5.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2023-12-15

Опубликована

2024-01-12

Обновлена

2024-01-12

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2023-50723 MITRE: CWE-94 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2026-02020
Высокий
5.3

Уязвимость платформы создания совместных веб-приложений XWiki Platform XWiki, позволяющая нарушителю реализовать атаку т

BDU:2026-00973
Высокий
6.5

Уязвимость файла templates/logging_macros.vm платформы создания совместных веб-приложений XWiki Platform XWiki, позволяю

BDU:2025-13433
Высокий
9.3

Уязвимость компонента org.xwiki.platform:xwiki-platform-skin-skinx платформы создания совместных веб-приложений XWiki Pl

BDU:2025-13434
Высокий
9.3

Уязвимость компонента org.xwiki.platform:xwiki-platform-webjars-api платформы создания совместных веб-приложений XWiki P

BDU:2025-13437
Высокий
8.8

Уязвимость поля HTTP Meta Info интерфейса администрирования платформы создания совместных веб-приложений XWiki Platform

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0