XWiki macro-pdfviewer – Umgehung der Zugriffsrechte auf Anhänge

Beschreibung

Das macro-pdfviewer-Makro für XWiki (auf Basis von Mozilla pdf.js) erlaubt laut NVD einem Angreifer über die Funktion „Delegate my view right“, beliebige Anhänge einzusehen, sofern der Angreifer eine Seite betrachten kann, deren letzter Autor Zugriff auf den Anhang hat. Es genügt, dem Makro die Referenz auf eine PDF-Datei zu übergeben; die benötigte Referenz lässt sich auch bei als N/A markierten Anhängen über die HTTP-Antwort des Page-Index ermitteln. CVSS-Basiswert: 7.5 (Hoch). Behoben ab Version 2.5.6.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Platform – Lesezugriff auf Konfigurationsdateien über SSX-URLs CVE-2026-23734
• XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService CVE-2025-65091
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489