XWiki permite inyección SQL en el punto final de consulta de la API REST con Oracle

La inyección SQL en XWiki Platform permite a un atacante comprometer la integridad y confidencialidad de la base de datos. Un atacante podría utilizar esta vulnerabilidad para extraer información sensible, como nombres de usuario, contraseñas, datos personales y configuraciones del sistema. Además, podrían modificar datos, insertar registros maliciosos o incluso ejecutar comandos en el servidor de base de datos. La falta de sanitización de funciones como DBMSXMLGEN y DBMSXMLQUERY en las consultas HQL permite esta explotación. Esta vulnerabilidad es particularmente grave debido a su potencial para causar daños significativos a la aplicación y a los datos que gestiona.

Organizations using XWiki Platform to manage sensitive data, particularly those running versions prior to 15.10.16, 16.4.7, or 16.10.2, are at significant risk. This includes deployments where XWiki is integrated with other critical systems or used in environments with strict data security requirements. Shared hosting environments where multiple users share the same XWiki instance are also particularly vulnerable.

• java: Monitor XWiki application logs for unusual SQL query patterns, particularly those involving DBMSXMLGEN or DBMSXMLQUERY. Use Java profiling tools to identify any unexpected database interactions. • generic web: Examine access logs for requests targeting vulnerable endpoints. Look for POST requests containing suspicious SQL syntax. • database (oracle): Use Oracle audit trails to monitor for unauthorized database access and execution of suspicious SQL queries. Specifically, look for queries using DBMSXMLGEN or DBMSXMLQUERY from unexpected sources.

SELECT username, os_username, module FROM dba_audit_trail WHERE action_name = 'EXECUTE' AND os_username = '<user_to_monitor>';

1. 2025-06-12Disclosure

   disclosure

1. Reservado2024-12-17
2. Publicada2025-06-12
3. Modificada2026-02-03
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-56158 es actualizar XWiki Platform a la versión 15.10.16, 16.4.7 o 16.10.2. Dado que no se conocen workarounds, la actualización es la única solución efectiva. Antes de actualizar, se recomienda realizar una copia de seguridad completa de la base de datos y del directorio de instalación de XWiki. Si la actualización causa problemas de compatibilidad, considere realizar una reversión a una versión anterior estable. Después de la actualización, verifique que la funcionalidad de XWiki siga funcionando correctamente y que la base de datos no haya sido comprometida.