CVE-2026-34151
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W XWiki Platform przed wersjami 17.10.5 i 18.2.0 akcja /skin/ w klasie SkinAction pozwala na rozwiązanie podwójnie zakodowanych segmentów katalogu nadrzędnego poza zamierzonym prefiksem zasobów, gdy Jetty 12 lub nowszy dekoduje ścieżkę żądania. Nieuwierzytelniony zdalny atakujący może odczytać dowolne zasoby dostępne dla procesu Jetty, w tym WEB-INF/xwiki.cfg, a w zależności od konfiguracji także pliki systemowe. Podatność naprawiono w wersjach 17.10.5 i 18.2.0.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać dostęp do plików konfiguracyjnych i potencjalnie wrażliwych danych systemowych, co może prowadzić do dalszej eskalacji i ujawnienia informacji. Ryzyko dotyczy szczególnie instalacji XWiki działających na Jetty 12 lub nowszym.
Rekomendacja
Zaktualizuj XWiki Platform do wersji 17.10.5 lub 18.2.0. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie dostępu do akcji /skin/ lub weryfikację konfiguracji serwera Jetty.
Inne podatności w XWiki Platform
Zobacz wszystkie- CVE-2026-33137Krytyczne
Podatność w XWiki Platform w wersjach od 15.10.6 do przed 18.1.0-rc-1, 17.10.3, 17.4.9 i 16.10.17. API POST /wikis/{wikiName} wykonuje import XAR bez sprawdzania uwierzytelnienia lub autoryzacji, umożliwiając nieuwierzytelnionemu atakującemu tworzenie lub aktualizację dokumentów w docelowej wiki.
- CVE-2026-23734Krytyczne
Podatność w XWiki Platform umożliwia odczyt plików konfiguracyjnych poprzez manipulację parametrem resource w endpointach ssx i jsx, co prowadzi do Path Traversal. Luka występuje w wersjach przed 18.1.0-rc-1, 17.10.3, 17.4.9 i 16.10.17.
- CVE-2026-33229Krytyczne
XWiki Platform to platforma wiki. Przed wersjami 17.4.8 i 17.10.1 nieprawidłowo chronione API skryptowe pozwala użytkownikowi z prawem skryptu na ominięcie sandboxa Velocity i wykonanie dowolnych skryptów Python, co prowadzi do pełnego dostępu do instancji XWiki.
- CVE-2025-24893KrytyczneAktywnie exploitowane
XWiki Platform umożliwia każdemu gościowi wykonanie dowolnego kodu zdalnie poprzez żądanie do `SolrSearch`. Podatność wpływa na poufność, integralność i dostępność całej instalacji XWiki.
- CVE-2023-40573Krytyczne
XWiki Platform posiada podatność, która pozwala na zdalne wykonanie kodu przez atakującego z prawami edycji na wiki. Wykorzystuje ona lukę w harmonogramie zadań oraz problem z autoryzacją autora treści skryptu. Ta podatność została załatana w wersjach XWiki 14.10.9 i 15.4RC1.
- CVE-2023-40572Krytyczne
Platforma XWiki jest podatna na atak CSRF w akcji tworzenia, co pozwala na wykonanie zdalnego kodu przez użytkowników z odpowiednimi uprawnieniami. W przypadku, gdy użytkownik z prawem do skryptów zobaczy określony komunikat w logach, instalacja XWiki jest zagrożona.
- CVE-2023-40177Krytyczne
XWiki Platform umożliwia zarejestrowanym użytkownikom wykonywanie dowolnych skryptów w polu treści swojej strony profilu, co prowadzi do eskalacji uprawnień. Problem ten występuje od wersji 4.3M2, kiedy dodano wsparcie dla pola treści w aplikacji AppWithinMinutes.
- CVE-2023-40176Krytyczne
XWiki Platform zawiera podatność na przechowywane XSS, która może być wykorzystana przez zarejestrowanych użytkowników poprzez ustawienie złośliwego ładunku w preferencjach strefy czasowej. Mimo że strefa czasowa jest wybierana z rozwijanej listy, można ją ustawić za pomocą JavaScript lub odpowiedniego URL-a.
- CVE-2023-37914Krytyczne
XWiki Platform umożliwia użytkownikom, którzy mogą przeglądać `Invitation.WebHome`, wykonywanie dowolnych makr skryptowych, w tym Groovy i Python, co prowadzi do zdalnego wykonania kodu. Ta podatność pozwala na nieograniczony dostęp do odczytu i zapisu wszystkich treści wiki.
- CVE-2023-37462Krytyczne
Platforma XWiki ma lukę, która wynika z niewłaściwego escapowania w dokumencie `SkinsCode.XWikiSkinsSheet`. Umożliwia to atakującym wykonanie dowolnych makr skryptowych, w tym Groovy i Python, co prowadzi do zdalnego wykonania kodu oraz nieograniczonego dostępu do zawartości wiki.
Oryginalny opis (angielski, źródło NVD)
XWiki Platform is a generic wiki platform. Prior to 17.10.5 and 18.2.0, the /skin/ action in com.xpn.xwiki.web.SkinAction can resolve double-encoded parent-directory segments outside the intended skin or web-application resource prefix when Jetty 12 or later decodes the request path. The affected lookup is replaced with Environment.getResourceAsStream(String, String), which constrains a resource to its expected prefix. An unauthenticated remote attacker can use the vulnerable behavior to read arbitrary resources permitted to the Jetty process, including WEB-INF/xwiki.cfg and, depending on deployment depth and operating-system permissions, host files. Tomcat and Jetty versions before 12 do not appear affected. This issue is fixed in versions 17.10.5 and 18.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS