XWiki Seite 2

In betroffenen XWiki-Versionen kann ein Nutzer ein Skript verfassen, dessen Velocity-Inhalt mit den Rechten eines anderen Content-Autors ausgeführt wird, sodass ein Angreifer etwa Rechte von XWiki.superadmin erlangen kann. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf XWiki 14.10.7 oder 15.2RC1.

XWiki Platform maskiert den section-URL-Parameter, der zur Anzeige von Administrationsabschnitten verwendet wird, nicht korrekt. Dadurch kann jeder Benutzer mit Leserecht auf das Dokument XWiki.AdminSheet (standardmässig alle, auch nicht authentifizierte Benutzer) Code einschliesslich Groovy-Code ausführen, was Vertraulichkeit, Integrität und Verfügbarkeit der gesamten Instanz betrifft. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Update auf XWiki 14.10.14, 15.6 RC1 oder 15.5.1; alternativ das Leserecht für Gäste auf dem betroffenen Dokument entziehen.

XWiki Platform ist über den rev-Parameter, der ohne Maskierung im Inhalt des Content-Menüs verwendet wird, für reflektiertes Cross-Site-Scripting (RXSS) anfällig. Gelingt es einem Angreifer, ein Opfer zum Aufruf eines präparierten Links zu bewegen, kann er Aktionen im Namen des Benutzers ausführen; bei Benutzern mit Programmierrechten ist auch eine Remote-Code-Ausführung (Groovy) möglich. Behoben in XWiki 15.6 RC1, 15.5.1 und 14.10.14. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine der genannten Versionen bzw. Anwenden des Patches aus Commit 04e325d57.

XWiki Rendering wandelt Text einer gegebenen Syntax in eine andere Syntax um. Vor Version 14.10.6 bzw. 15.1-rc-1 der Footnote-Makro-Pakete führte das Footnote-Makro seinen Inhalt in einem potenziell anderen Kontext aus als dem, in dem er definiert wurde. In Kombination mit dem Include-Makro ermöglicht dies eine Rechteausweitung von einem einfachen Nutzerkonto bis zu Programmierrechten und damit Remote-Code-Ausführung. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Update auf XWiki 14.10.6 oder 15.1-rc-1.

In XWiki Platform erlaubt der Office-Converter bei einem speziell präparierten Dateinamen, den Inhalt eines Anhangs an einen vom Angreifer kontrollierten Ort auf dem Server zu schreiben, sofern der Java-Prozess dort Schreibrechte hat. In Kombination mit dem Verschieben von Anhängen lässt sich damit etwa die JAR-Datei einer Erweiterung ersetzen und so beliebiger Java-Code ausführen. Betroffen sind Versionen ab 3.5-milestone-1 vor 14.10.8 und 15.3-rc-1. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf XWiki 14.10.8 bzw. 15.3RC1 aktualisieren; alternativ den Office-Converter deaktivieren.

In XWiki Platform kann jeder Benutzer, der sein eigenes Benutzerprofil bearbeiten darf, beliebige Skript-Makros einschliesslich Groovy- und Python-Makros ausführen. Dies ermöglicht Remote Code Execution mit uneingeschränktem Lese- und Schreibzugriff auf sämtliche Wiki-Inhalte. Betroffen sind Versionen ab 5.1-rc-1 vor 14.10.8 und vor 15.3-rc-1. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Aktualisierung auf XWiki 14.10.8 beziehungsweise 15.3-rc-1; als Übergangslösung kann der Patch manuell auf das Dokument Menu.UIExtensionSheet angewendet werden.

Die ab Version 14.6-rc-1 eingeführte Bereinigung von Attributen beim XHTML- Rendering von XWiki Rendering erlaubte über ungültige Attributnamen die Injektion beliebigen HTML-Codes und damit Cross-Site-Scripting, etwa über die Link-Syntax in Inhalten mit XWiki-Syntax. Bei einem privilegierten Nutzer mit Programmierrechten kann dies zur serverseitigen Code-Ausführung führen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf XWiki 14.10.4 oder 15.0 RC1.

In XWiki Platform kann ein Angreifer auf einem beliebigen Dokument des Wikis (etwa dem eigenen Benutzerprofil) einen Template-Provider mit schädlichem Code anlegen. Dieser wird ausgeführt, wenn der Provider bei der Dokumenterstellung ausgewählt wird, was sich über eine URL auslösen lässt. Je nach Rechten des Opfers kann dies bis zu Remote Code Execution sowie vollem Lese- und Schreibzugriff auf die gesamte XWiki-Installation führen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die behobenen Versionen (u. a. xwiki-platform-web 13.4-rc-1, xwiki-platform-web-templates 14.10.2 bzw. 15.5-rc-1).

In XWiki Platform (xwiki-platform-web 7.2-milestone-2 bis 14.10.12 sowie xwiki-platform-web-templates vor 14.10.12 und 15.5-rc-1) kann ein beim Anlegen einer Seite übergebener Titel zunächst unsichtbar bleiben und im zweiten Schritt ausgeführt werden. Ein Angreifer kann ein Opfer so dazu bringen, Code auszuführen; bei entsprechenden Rechten reicht das bis zur vollständigen Übernahme der XWiki-Instanz. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Auf xwiki-platform-web 14.10.12 beziehungsweise die bereinigten Template-Versionen aktualisieren.

Die XWiki Platform ist laut NVD ab Version 12.0-rc-1 und vor 14.10.12 bzw. 15.5-rc-1 für reflektiertes Cross-Site-Scripting im Formular zur Seitenerstellung anfällig, wenn die Prüfung von Dokumentnamen aktiviert ist. Ein Angreifer kann darüber Aktionen mit den Rechten des Nutzers ausführen, der einen präparierten Link öffnet; je nach Rechten sind Codeausführung und voller Lese- und Schreibzugriff auf die Installation möglich. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: auf XWiki 14.10.12 oder 15.5-rc-1 aktualisieren.

In der XWiki-Plattform zeigt das Formular zur Dokumenterstellung eine Fehlermeldung an, wenn ein bereits vorhandenes Dokument angelegt werden soll. Wegen fehlender Maskierung ist diese Fehlermeldung anfällig für die Injektion von rohem HTML und damit für Cross-Site-Scripting; der eingeschleuste Code ist die Dokumentreferenz des vorhandenen Dokuments. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf xwiki-platform-web 13.4-rc-1 bzw. xwiki-platform-web-templates 14.10.12 oder 15.5-rc-1.

Das Paket com.xwiki.identity-oauth:identity-oauth-ui unterstützt den Aufbau von Identity- und Service-Providern auf Basis von OAuth-Autorisierungen. Beim Login über die OAuth-Methode sind die im GET-Request übergebenen identityOAuth-Parameter anfällig für Cross-Site-Scripting (XSS) und XWiki-Syntax-Injection. Dies ermöglicht Remote Code Execution über das Groovy-Makro und beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Installation. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Identity OAuth Version 1.6; Workarounds sind nicht bekannt.

Change Request ist eine Anwendung, mit der Nutzer Änderungen an einem Wiki beantragen können, ohne sie direkt zu veröffentlichen. Ab Version 0.11 und vor Version 1.9.2 kann ein Benutzer ohne besondere Rechte allein durch einen passend gewählten Titel beim Anlegen eines neuen Change Request eine Script-Injection und Remote Code Execution auslösen. Besonders kritisch ist dies, da Change Request gerade für Nutzer ohne besondere Rechte gedacht ist. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Update auf Change Request 1.9.2 einspielen.

Die create-Aktion der XWiki Platform ist anfällig für einen CSRF-Angriff, der Skript- und damit entfernte Codeausführung ermöglicht, wenn ein Benutzer mit Script- oder Programming-Recht das Ziel ist. Dadurch sind Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Installation gefährdet. CVSS-Basiswert: 9.0 (Kritisch). Behoben in XWiki 14.10.9 und 15.4RC1 durch das Erfordernis eines CSRF-Tokens für die Seitenerstellung. Empfohlene Massnahme: auf 14.10.9 beziehungsweise 15.4 oder neuer aktualisieren.

XWiki Platform unterstützt geplante Jobs, die Groovy-Skripte enthalten können. Der Job prüft zwar den Content-Autor auf Programmierrechte, doch das Ändern oder Hinzufügen eines Job-Skripts in einem Dokument ändert den Content-Autor nicht. In Verbindung mit einer CSRF-Schwachstelle im Job-Scheduler lässt sich dies von einem Angreifer mit Bearbeitungsrecht im Wiki zur entfernten Codeausführung ausnutzen. CVSS-Basiswert: 9 (Kritisch). Empfohlene Massnahme: Aktualisierung auf XWiki 14.10.9 oder 15.4RC1.

XWiki Platform bietet Laufzeitdienste für darauf aufbauende Anwendungen. Jeder registrierte Nutzer kann das Inhaltsfeld seiner Profilseite nutzen, um beliebige Skripte mit Programmierrechten auszuführen, und so eine Rechteausweitung erreichen. Die Schwachstelle besteht seit Version 4.3M2 und wurde in XWiki 14.10.5 und 15.1RC1 behoben. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Update auf XWiki 14.10.5 oder 15.1RC1.

Jeder registrierte Nutzer kann in XWiki über seine Profil-Zeitzoneneinstellung ein Stored XSS auslösen: Der Wert wird ohne Escaping ausgegeben und beim Besuch des Profils für jeden Besucher ausgeführt, was bis zur Ausweitung auf Programmierrechte führen kann. Der Fehler besteht seit Version 4.1M2. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf XWiki 14.10.5 oder 15.1RC1.

In XWiki Platform kann jeder Benutzer, der Invitation.WebHome ansehen darf, beliebige Skriptmakros einschliesslich Groovy und Python ausführen, was eine Remote Code Execution mit uneingeschränktem Lese- und Schreibzugriff auf alle Wiki-Inhalte ermöglicht. Behoben in XWiki 14.4.8, 14.10.6 und 15.2-rc-1. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf eine der gepatchten Versionen aktualisieren; alternativ lässt sich der Patch manuell auf Invitation.InvitationCommon und Invitation.InvitationConfig anwenden.

XWiki Platform ist eine generische Wiki-Plattform mit Laufzeitdiensten für darauf aufbauende Anwendungen. In den Versionen 4.2-milestone-2 bis 16.10.6 sind laut NVD Konfigurationsdateien über die jsx- und sx-Endpunkte erreichbar, sodass sich über eine präparierte URL Dateien wie xwiki.cfg auslesen lassen. Das Problem ist in Version 16.10.7 behoben. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 16.10.7 oder höher aktualisieren.

In XWiki wird bei Instanzen, die das XJetty-Package verwenden, laut NVD ein Kontext offengelegt, über den statisch auf beliebige Dateien im webapp/-Verzeichnis zugegriffen werden kann. Dabei können auch Dateien mit Zugangsdaten erreicht werden. Betroffen sind die Versionen 16.7.0 bis 16.10.11, 17.4.4 sowie 17.7.0. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt nicht vor. Empfohlene Massnahme: Update auf Version 16.10.11, 17.4.4 oder 17.7.0.

In XWiki Rendering (Version 16.10.9 und aelter, 17.0.0-rc-1 bis 17.4.2 sowie 17.5.0-rc-1 bis 17.5.0) besteht ein unzureichender Schutz gegen die Injection von {{/html}}. Jeder Nutzer, der sein Profil oder ein anderes Dokument bearbeiten kann, kann beliebige Skript-Makros ausführen und damit Remote Code Execution sowie vollen Lese- und Schreibzugriff auf alle Wiki-Inhalte erlangen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 16.10.10, 17.4.3 oder 17.6.0-rc-1.

Im Linux-Kernel wurde eine Schwachstelle behoben: In net/mlx5e behandelt mlx5e_xfrm_add_state() temporäre SAs im Acquire-Ablauf, wobei es zu einem Underflow der eswitch-Mode-Blockierung kommen konnte. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: den korrigierten Kernel-Stand über die Aktualisierungen des jeweiligen Distributors einspielen.

XWiki setzt in seiner REST API aktuell keine Begrenzung für die Anzahl der pro Anfrage abrufbaren Elemente durch. Je nach Anzahl der Seiten im Wiki und Speicherkonfiguration kann dies zu Verlangsamung und Nichtverfügbarkeit führen; die Ressource /rest/wikis/xwiki/spaces liefert beispielsweise standardmässig alle Spaces des Wikis. Betroffen sind Versionen 16.10.10 und früher, 17.0.0-rc-1 bis 17.4.3 sowie 17.5.0-rc-1 bis 17.6.0. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 17.4.4 bzw. 16.10.11 oder neuer aktualisieren.

XWiki Remote Macros stellt Rendering-Makros bereit, die beim Migrieren von Inhalten aus Confluence genutzt werden. Vor Version 1.27.1 führt das Makro Velocity-Code von den Detailseiten aus, ohne die erforderlichen Berechtigungen zu prüfen, was zu Remote Code Execution führen kann. Betroffen ist das Produkt XWiki. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf Version 1.27.1 (bzw. die angegebene korrigierte Version) einspielen.

Im xfrm-iptfs-Code des Linux-Kernels wurde eine Schwachstelle behoben: iptfs_clone_state() kopierte die IPTFS-Modusdaten mit kmemdup() und übernahm dabei auch den Laufzeitzustand; dieser wird beim Klonen von Security Associations nun zurückgesetzt. Der Fehler wurde per Kernel-Patch korrigiert; Ubuntu stellt entsprechende Kernel-Updates bereit (USN-8593-1, USN-8603-1). CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die bereitgestellte Kernel-Aktualisierung einspielen.

CryptPad 2025.3.1 erlaubt eine unbegrenzte Flut von WebSocket-Frames. Ein nicht authentifizierter Angreifer aus der Ferne kann dadurch den Dienst für alle Nutzer einer CryptPad-Instanz erheblich beeinträchtigen oder verweigern. Der Fehler ist laut Quelle in Version 2026.2.2 behoben. CVSS-Basiswert: 7.5 (Hoch).

Die XWiki Platform enthält in REST-API-Endpunkten eine Schwachstelle zur Ressourcenerschoepfung. Bestimmte Endpunkte listen als Teil der Metadaten für Datenbanklisten-Eigenschaften alle verfügbaren Seiten auf, ohne Abfragelimits anzuwenden. Auf grossen Wikis kann dies verfügbare Server-Ressourcen erschoepfen. Betroffen sind Versionen ab 1.8-rc-1, 17.0.0-rc-1 und 17.5.0-rc-1 sowie aeltere. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf XWiki 16.10.16, 17.4.8 oder 17.10.1.

XWiki bis einschliesslich Version 17.3.0 ist anfällig für Server-Side Template Injection (SSTI) in der Administrationsoberfläche, konkret im Feld HTTP Meta Info der globalen Voreinstellungen. Ein authentifizierter Administrator kann präparierten Apache-Velocity-Template-Code einschleusen, der serverseitig ohne ausreichende Validierung oder Sandboxing gerendert wird. Dadurch lässt sich beliebige Template-Logik ausführen, was interne Serverinformationen offenlegen oder je nach Konfiguration zu Remote-Code-Ausführung und Datenabfluss führen kann. CVSS-Basiswert: 8.8 (Hoch).

In XWiki kann ein Nutzer mit Bearbeitungsrecht an einer Seite (etwa dem eigenen Profil) über die Definition eines Wiki-Makros Code (Groovy, Python, Velocity) mit Programmierrechten ausführen und so vollen Zugriff auf die gesamte XWiki-Installation erlangen. Ursache ist, dass der Standardwert eines Makro- Parameters mit Wiki-Syntax mit den Rechten des Dokumentautors ausgeführt wird. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf XWiki 16.4.7, 16.10.3 oder 17.0.0.

In der Wiki-Plattform XWiki können Seiten unbeabsichtigt Script- oder Programmierrechte erlangen, wenn sie einen Link enthalten und das Ziel dieses Links umbenannt oder verschoben wird. Dadurch lassen sich in xObjects hinterlegte Skripte ausführen, die eigentlich nie hätten laufen dürfen. Betroffen sind Versionen ab 8.2 sowie ab 7.4.5 bis vor 17.1.0-rc-1, 16.10.4 und 16.4.7. CVSS-Basiswert: 8 (Hoch). Empfohlene Massnahme: Aktualisierung auf XWiki 17.1.0-rc-1, 16.10.4 oder 16.4.7.

In XWiki kann laut NVD jeder Nutzer mit Bearbeitungsrecht auf mindestens einer App-Within-Minutes-Anwendung – standardmässig alle Nutzer – durch Bearbeiten der Anwendung Programmierrechte erlangen und Remote Code Execution durchführen. Behoben wurde die Schwachstelle in XWiki 17.0.0, 16.4.7 und 16.10.3. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine der korrigierten Versionen aktualisieren.

XWiki ist eine quelloffene Wiki-Plattform. Erstellt ein Benutzer ohne Script-Recht ein Dokument mit einem XWiki.Notifications.Code. NotificationDisplayerClass-Objekt und bearbeitet und speichert ein Administrator dieses Dokument später, wird der möglicherweise boesartige Inhalt des Objekts als rohes HTML ausgegeben und ermöglicht XSS-Angriffe. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf XWiki 15.10.16, 16.4.7 oder 16.10.2.

XWiki warnt seit Version 15.9RC1 beim Bearbeiten von Inhalten mit gefährlichen Makros, die von Benutzern mit geringeren Rechten stammen. Die dafür zuständigen Rechteanalysen sind jedoch unvollständig: Parameter in Nicht-Kleinschreibung, Makro-Parameter mit XWiki-Syntax (etwa Titel von Infoboxen) sowie die source-Parameter der content- und context-Makros wurden nicht geprüft. Im schlimmsten Fall kann ein Angreifer so bösartige Skript-Makros (etwa Groovy oder Python) in einer Seite verstecken, die nach dem Bearbeiten durch einen Benutzer mit Programmierrechten ausgeführt werden – Remote Code Execution. CVSS-Basiswert: 8 (Hoch). Empfohlene Massnahme: auf XWiki 16.4.7, 16.10.3 oder 17.0.0 aktualisieren, wo die Analysen erweitert wurden.

In XWiki kann ein Angreifer ohne Script- oder Programmierrechte (Bearbeitungsrecht genügt) eine XClass-Definition anlegen, deren Schadcode später ohne Vorwarnung mit den Rechten eines Nutzers mit Script-, Admin- oder Programmierrechten ausgeführt wird, sobald dieser das Dokument bearbeitet. Betroffen sind insbesondere eigener Anzeige-Code, Skripte berechneter Properties sowie Datenbankabfragen in Listen-Properties; verwundbar sind Versionen vor 15.10.16, 16.0.0-rc-1 bis 16.4.6 und 16.5.0-rc-1 bis 16.10.1. CVSS-Basiswert: 8 (Hoch). Empfohlene Massnahme: auf XWiki 16.10.2, 16.4.7 oder 15.10.16 aktualisieren; dort werden die betreffenden XClass-Properties analysiert.

In XWiki Platform kann in den Versionen 10.9 bis 16.4.6, 16.5.0-rc-1 bis 16.10.2 sowie 17.0.0-rc-1 der Titel jeder Seite, deren Referenz bekannt ist, über die REST-API abgerufen werden, sofern eine XClass mit einer Page-Property zugänglich ist – dies ist bei einer Standardinstallation der Fall. Ein Angreifer kann so pro Anfrage den Titel einer Seite mit bekannter Referenz ermitteln; vollständig private Wikis sind nicht betroffen, da der REST-Endpunkt die Zugriffsrechte auf die XClass-Definition prüft. Die Auswirkung auf die Vertraulichkeit hängt von der Strategie für Seitennamen ab und kann bei absichtlich verschleierten Titeln hoch ausfallen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf XWiki 16.4.7, 16.10.3 oder 17.0.0.

In XWiki wurden mit Version 16.10.0 Required Rights eingeführt, um die Rechte eines Dokuments zu begrenzen. Ein Fehler in deren Durchsetzung ermöglichte es jedem Benutzer mit Bearbeitungsrecht, Programming-Right als Required Right zu setzen; bearbeitete danach ein Benutzer mit Programming-Right das Dokument, erhielt dessen Inhalt Programming-Right und damit die Möglichkeit zur entfernten Codeausführung. CVSS-Basiswert: 8.8 (Hoch). Behoben in XWiki 16.10.4 und 17.1.0RC1. Empfohlene Massnahme: auf 16.10.4 beziehungsweise 17.1.0 oder neuer aktualisieren.

XWiki ist eine generische Wiki-Plattform. In Versionen ab 1.6-milestone-1 und vor 15.10.16, 16.4.6 sowie 16.10.1 kann ein Benutzer mit SCRIPT-Recht aus dem HQL-Ausführungskontext ausbrechen und über eine Blind SQL Injection beliebige SQL-Anweisungen auf der Datenbank ausführen. Je nach eingesetztem Backend kann der Angreifer vertrauliche Informationen wie Passwort-Hashes auslesen sowie UPDATE-, INSERT- und DELETE-Abfragen ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 16.10.1, 16.4.6 oder 15.10.16.

In XWiki Platform können Nutzer laut NVD über die REST-API Zugriff auf private Informationen erhalten, obwohl in einem Subwiki die Option „Prevent unregistered users to view pages“ (oder vergleichbare Rechte wie „Prevent unregistered users to edit pages“) aktiviert ist. Betroffen sind ausschliesslich Subwikis; die Lücke lässt sich ohne Zugangsdaten über die REST-API nachweisen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf XWiki 15.10.14, 16.4.6 oder 16.10.0-rc-1 einspielen.

Die Extension XWiki Confluence Migrator Pro unterstützt Administratoren beim Import von Confluence-Paketen in eine XWiki-Instanz. Die Startseite der Anwendung ist öffentlich erreichbar, wodurch auch nicht angemeldete Gäste das importierte Paket herunterladen können, das potenziell sensible Informationen enthält. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 1.11.7 einspielen.

Das macro-pdfviewer-Makro für XWiki (auf Basis von Mozilla pdf.js) erlaubt laut NVD einem Angreifer über die Funktion „Delegate my view right“, beliebige Anhänge einzusehen, sofern der Angreifer eine Seite betrachten kann, deren letzter Autor Zugriff auf den Anhang hat. Es genügt, dem Makro die Referenz auf eine PDF-Datei zu übergeben; die benötigte Referenz lässt sich auch bei als N/A markierten Anhängen über die HTTP-Antwort des Page-Index ermitteln. CVSS-Basiswert: 7.5 (Hoch). Behoben ab Version 2.5.6.

macro-pdfviewer ist ein PDF-Viewer-Makro für XWiki auf Basis von Mozilla pdf.js. Jeder Benutzer mit Sichtrecht auf XWiki.PDFViewerService kann auf beliebige im Wiki gespeicherte Anhänge zugreifen, da der zum Schutz vorgesehene Schlüssel falsch berechnet wird: Ein Skip auf dem Digest-Stream aktualisiert den Digest nicht. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Auf Version 2.5.6 aktualisieren.

In der XWiki Platform fehlt der Rollback-Aktion eine Rechteprüfung. Ein Benutzer kann dadurch eine Seite auf eine frühere Version zurücksetzen und so Rechte erlangen, die ihm nicht mehr zustehen. Das Problem wurde in XWiki 14.10.17, 15.5.3 und 15.8-rc-1 behoben, indem die Rechte vor dem Rollback geprüft werden. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der korrigierten XWiki-Versionen.

In XWiki Platform kann ein Benutzer, der Dateien an eine Seite anhängen darf, eine manipulierte TAR-Datei mit gefälschten Änderungszeit-Headern hochladen. Beim Parsen durch die Bibliothek Tika löst dies einen Denial of Service durch hohen CPU-Verbrauch aus. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf XWiki 14.10.18, 15.5.3 oder 15.8 RC1 aktualisieren, dort ist der Fehler behoben.

In der XWiki Platform ist es möglich, über den Dokumentenbaum ein Velocity-Skript auszuführen, ohne dass das erforderliche Script-Recht vorliegt. Betroffen ist das Produkt XWiki des Herstellers XWiki SAS. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf Version 14.10.7 oder 15.2RC1 (bzw. die angegebene korrigierte Version) einspielen.

XWiki Platform ist eine generische Wiki-Plattform. Ab Version 7.2-milestone-2 und vor den Versionen 14.10.15, 15.5.2 und 15.7-rc-1 legt die Solr-basierte Suche in XWiki die Passwort-Hashes aller Benutzer gegenüber jedem offen, der Leserecht auf das jeweilige Benutzerprofil besitzt. Da Benutzerprofile standardmässig öffentlich sind, sind faktisch alle Konten betroffen; ebenso können Passwörter aus Erweiterungskonfigurationen wie API-Schlüssel im Klartext offengelegt werden. Es sind keine Workarounds bekannt. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: Update auf XWiki 14.10.15, 15.5.2 oder 15.7RC1.

In der XWiki-Anwendung Change Request, die Änderungen an einer Wiki-Seite vor der Veröffentlichung zur Prüfung stellt, kann jede Bearbeitung standardmässig in eine für jedermann herunterladbare XML-Datei exportiert werden. Ein Angreifer mit Change-Request- und Anzeigerecht kann so eine Benutzerprofilseite bearbeiten und über die erzeugte XML-Datei den Passwort-Hash von Nutzern erlangen; dies betrifft auch andere Dokumente mit Passwortfeld. Die Schwachstelle betrifft alle Versionen von Change Request, das tatsächliche Ausmass hängt von den vergebenen Wiki-Rechten ab. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Change Request 1.10; alternativ kann das Bearbeitungsrecht für Seiten mit Passwortfeld, etwa den XWiki-Namensraum, gezielt entzogen werden.

Die XWiki Admin Tools Application vor Version 4.5.1 enthält eine Cross-Site-Request-Forgery-Schwachstelle im Werkzeug „query on XWiki“. Dadurch lassen sich beliebige Datenbankabfragen auf der Datenbank der XWiki-Installation ausführen, was unter anderem das Ändern und Löschen sämtlicher Daten des Wikis ermöglicht. Ein möglicher Angriffsvektor sind Kommentare mit eingebetteten Bildern in Wiki-Syntax. Version 4.5.1 behebt das Problem durch Form-Token-Prüfungen; zusätzlich stehen Umgehungslösungen bereit. CVSS-Basiswert: 8.8 (Hoch).

In XWiki Platform ab Version 6.3-milestone-2 und vor den Versionen 14.10.15, 15.5.1 und 15.6RC1 legt der Solr-basierte Suchvorschlags-Provider, der zugleich als generische JavaScript-API für Suchergebnisse dient, die Inhalte aller Dokumente aller Wikis gegenüber jedem offen, der Zugriff darauf hat – standardmässig ist dieser Zugriff öffentlich. Damit werden sämtliche im Wiki gespeicherten Informationen offengelegt, mit Ausnahme geschützter Daten wie Passwort-Hashes. Die eigentlich vorhandene Rechteprüfung lässt sich laut Quelle umgehen, indem gezielt Solr-Felder abgefragt werden, die nicht in die Rechteprüfung einbezogen sind. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf XWiki 15.6RC1, 15.5.1 oder 14.10.15; Workarounds sind laut Quelle nicht bekannt.

In application-collabora, der Integration von Collabora Online in XWiki, bleibt ein einmal gewährtes Bearbeitungsrecht für ein Office-Attachment für alle nachfolgenden Nutzer bestehen, solange die Bearbeitungssitzung nicht geschlossen wird – selbst wenn diese Nutzer nur ein Leserecht besitzen sollten. Ursache ist laut Quelle, dass der von Collabora ausgelöste Parameter userCanWrite zwischengespeichert wird, obwohl beispielsweise der Token wechselt. Das Problem ist in Version 1.3 behoben. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Update auf Version 1.3.

In der XWiki Platform kann ein Angreifer mit Bearbeitungsrechten auf ein beliebiges Dokument (etwa das standardmässig editierbare eigene Benutzerprofil) Attachments beliebiger anderer Dokumente in ein von ihm kontrolliertes Dokument verschieben. Damit erhält er Zugriff auf jedes Attachment, dessen Name bekannt ist, unabhängig von seinen Rechten am Quelldokument; das Attachment wird dabei zudem aus dem Quelldokument gelöscht. Betroffen sind Versionen ab 14.0-rc-1 (Einführung der Verschiebe-Funktion) vor 14.4.8, 14.10.4 und 15.0-rc-1. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf XWiki 14.4.8, 14.10.4 oder 15.0 RC1 aktualisieren; einen anderen Workaround gibt es laut Hersteller nicht.