CVE-2023-48240

XWiki Platform es una plataforma wiki genérica. La diferencia renderizada en XWiki incorpora imágenes para poder comparar los contenidos y no mostrar una diferencia para una imagen realmente sin cambios. Para ello, XWiki solicita todas las imágenes incrustadas en el lado del servidor. Estas solicitudes también se envían para imágenes de otros dominios e incluyen todas las cookies que se enviaron en la solicitud original para garantizar que se puedan comparar las imágenes con derecho de visualización restringido. A partir de la versión 11.10.1 y anteriores a las versiones 14.10.15, 15.5.1 y 15.6, esto permite a un atacante robar cookies de inicio de sesión y sesión que permiten hacerse pasar por el usuario actual que ve la diferencia. El ataque se puede activar con una imagen que haga referencia a la diferencia renderizada, lo que facilita su activación. Además de robar cookies de inicio de sesión, esto también permite server-side request forgery (el resultado de cualquier solicitud exitosa se devuelve en la fuente de la imagen) y ver contenido protegido, ya que una vez que un recurso se almacena en caché, se devuelve para todos los usuarios. Como solo se almacenan en caché las solicitudes exitosas, el primer usuario al que se le permita acceder al recurso completará la caché. Esto ha sido parcheado en XWiki 14.10.15, 15.5.1 y 15.6. La diferencia renderizada ahora solo descarga imágenes de dominios confiables. Además, las cookies sólo se envían cuando el dominio de la imagen es el mismo que el dominio solicitado. El caché se ha cambiado para que sea específico para cada usuario. Como workaround, la función de incrustación de imágenes se puede desactivar eliminando `xwiki-platform-diff-xml-.jar` en `WEB-INF/lib/`.