XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService

Beschreibung

Das XWiki Full Calendar Macro zeigt Objekte des Wikis im Kalender an. In Versionen vor 2.4.5 können Nutzer mit dem Recht, die Seite Calendar.JSONService anzuzeigen (einschliesslich Gastnutzern), eine SQL-Injection ausnutzen, um an Datenbankinformationen zu gelangen oder einen Denial of Service auszulösen. Das Problem wurde in Version 2.4.5 behoben. CVSS-Basiswert: 10.0 (Kritisch). Empfohlene Massnahme: auf Version 2.4.5 aktualisieren.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489
• XWiki Platform – Remote Code Execution über die Datenbanksuche CVE-2024-31982
• XWiki Platform: XWiki-Syntax-Injection und Remote Code Execution über fehlerhaftes HTML-Escaping CVE-2024-31996