XWiki Platform: Programmierrechte über fehlendes Escaping in der Administration

Beschreibung

In XWiki Platform kann jeder, der eine beliebige Wiki-Seite bearbeiten darf, durch mehrere Fälle von fehlendem Escaping im Code zur Anzeige von Abschnitten in der Administrationsoberfläche Programmierrechte erlangen; dies gefährdet Vertraulichkeit, Integrität und Verfügbarkeit der gesamten Installation. Da Benutzer üblicherweise ihr eigenes Profil bearbeiten dürfen, ist die Lücke für alle Nutzer der Instanz ausnutzbar. Betroffen sind Versionen ab 2.3 vor 14.10.15, 15.5.2 und 15.7-rc-1. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf XWiki 14.10.15, 15.5.2 oder 15.7RC1 aktualisieren.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService CVE-2025-65091
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489
• XWiki Platform – Remote Code Execution über die Datenbanksuche CVE-2024-31982