-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in XWiki
Advisory ID     : NCSC-2022-0735
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2022-41936, CVE-2022-41937
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Toegang tot gevoelige gegevens
Uitgiftedatum   : 20221122
Toepassing      : XWiki
Versie(s)       : < 14.6-rc-1
                  < 14.4.3
                  < 13.10.8
Platform(s)     :

Beschrijving
   Er zijn kwetsbaarheden verholpen in XWiki. Een kwaadwillende kan
   door het importeren van een geprepareerd XAR-bestand de
   kwetsbaarheid misbruiken om iedere pagina te bekijken of te
   bewerken, terwijl deze niet beschikbaar zou moeten zijn voor de
   kwaadwillende. Ook kan mogelijk gevoelige informatie verkregen
   worden door het gebruik van de 'modifications' REST API endpoint,
   welke niet voldoende afgeschermd is voor ongeauthenticeerden.

Mogelijke oplossingen
   XWiki heeft updates uitgebracht om het probleem te verhelpen. Voor
   meer informatie, zie:

   https://github.com/xwiki/xwiki-platform/security/advisories
      /GHSA-p88w-fhxw-xvcc
   https://github.com/xwiki/xwiki-platform/security/advisories
      /GHSA-q6jp-gcww-8v2j

   Voor de kwetsbaarheid met kenmerk CVE-2022-41937 is ook een
   workaround beschikbaar. Zet de rechten van de Filter.WebHome-pagina
   hiervoor naar 'Administrators can view'.

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298) - not licensed for commercial use: www.pgp.com
Charset: utf-8
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=LBMY
-----END PGP SIGNATURE-----