XWiki Platform - это универсальная вики-платформа. Отображаемый diff в XWiki встраивает изображения, чтобы иметь возможность сравнивать сод…

XWiki Platform - это универсальная вики-платформа. Отображаемый diff в XWiki встраивает изображения, чтобы иметь возможность сравнивать содержимое и не отображать разницу для фактически неизмененного изображения. Для этого XWiki запрашивает все встроенные изображения на стороне сервера. Эти запросы также отправляются для изображений из других доменов и включают все файлы cookie, которые были отправлены в исходном запросе, чтобы убедиться, что изображения с ограниченным правом просмотра могут быть сопоставлены. Начиная с версии 11.10.1 и до версий 14.10.15, 15.5.1 и 15.6, это позволяет злоумышленнику украсть файлы cookie для входа в систему и сеанса, которые позволяют выдавать себя за текущего пользователя, просматривающего diff. Атака может быть вызвана изображением, которое ссылается на отображаемый diff, что упрощает ее запуск. Помимо кражи файлов cookie для входа в систему, это также позволяет выполнять подделку запросов на стороне сервера (результат любого успешного запроса возвращается в исходном коде изображения) и просматривать защищенный контент, поскольку после того, как ресурс кэшируется, он возвращается для всех пользователей. Поскольку кэшируются только успешные запросы, кэш будет заполнен первым пользователем, которому разрешен доступ к ресурсу. Это было исправлено в XWiki 14.10.15, 15.5.1 и 15.6. Отображаемый diff теперь загружает изображения только из доверенных доменов. Кроме того, файлы cookie отправляются только в том случае, если домен изображения совпадает с запрошенным доменом. Кэш был изменен, чтобы быть специфичным для каждого пользователя. В качестве обходного пути функцию встраивания изображений можно отключить, удалив `xwiki-platform-diff-xml-\u003cversion\u003e.jar` в `WEB-INF/lib/`.