XWiki Platform – Remote Code Execution über die Datenbanksuche

Beschreibung

XWiki Platform ist eine generische Wiki-Plattform. Ab Version 2.4-milestone-1 und vor den gepatchten Versionen erlaubt die Datenbanksuche von XWiki eine Remote Code Execution über den Suchtext. Da die Datenbanksuche standardmässig allen Benutzern zugänglich ist, betrifft dies jeden Besucher eines öffentlichen Wikis bzw. jeden Benutzer eines geschlossenen Wikis und beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit der gesamten Installation. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf XWiki 14.10.20, 15.5.4 oder 15.10RC1; alternativ die Seite Main.DatabaseSearch manuell patchen oder – sofern die Datenbanksuche nicht genutzt wird – entfernen.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService CVE-2025-65091
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489
• XWiki Platform: XWiki-Syntax-Injection und Remote Code Execution über fehlerhaftes HTML-Escaping CVE-2024-31996