XWiki Platform: Zugriff auf private Informationen in Subwikis über die REST API

Beschreibung

In XWiki Platform können Nutzer laut NVD über die REST-API Zugriff auf private Informationen erhalten, obwohl in einem Subwiki die Option „Prevent unregistered users to view pages“ (oder vergleichbare Rechte wie „Prevent unregistered users to edit pages“) aktiviert ist. Betroffen sind ausschliesslich Subwikis; die Lücke lässt sich ohne Zugangsdaten über die REST-API nachweisen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf XWiki 15.10.14, 16.4.6 oder 16.10.0-rc-1 einspielen.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Platform – Lesezugriff auf Konfigurationsdateien über SSX-URLs CVE-2026-23734
• XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService CVE-2025-65091
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489