关键漏洞信息 漏洞标题 Remote code execution through preview of XClass changes in AWM editor 漏洞类型与优先级 Type: Bug Priority: Blocker 影响版本与组件 Affects Version/s: 7.2-milestone-2 Component/s: Old Core 标签 Labels: attack_escalation, attacker_edit, security 解决状态 Resolution: Fixed Fix Version/s: 16.10.3, 17.0.0, ... 报告人与分配人 Reporter: Michael Hamann Assignee: Michael Hamann 创建与解决日期 Created: 06/Dec/24 17:39 Resolved: 22/Jan/25 11:49 复现步骤 1. 以具有编辑权限但无脚本权限的用户登录。 2. 创建文档 "EvilDisplayer.WebHome"。 3. 使用类编辑器编辑此文档。添加名为 "title" 的属性（名称无关紧要），类型为 "Computed Field"，自定义显示内容为： 4. 保存文档。 5. 在帮助应用程序中的电影应用 ("Help.Applications.Movies.WebHome") 中进行操作。 6. 点击 "Edit application" 下的 "Actions"。 7. 点击 "Genre" 属性中的 "Configure" 图标。 8. 更改两个值的顺序（例如，将 "Comedy" 移到 "Action" 前）。 9. 使用网页开发者工具的检查器找到带有 "hidden" 类的 "div"，在 "Genre" 标签之前。 10. 找到隐藏输入，名称为 "template-staticList1"，值为 "AppWithinMinutes.StaticList"。 ``` 这些信息表明这是一个严重的远程代码执行漏洞，通过AWM编辑器预览XClass更改时触发，影响特定版本的XWiki平台，并已在后续版本中修复。