XWiki – Denial of Service durch fehlende Limits in der REST API

Beschreibung

XWiki setzt in seiner REST API aktuell keine Begrenzung für die Anzahl der pro Anfrage abrufbaren Elemente durch. Je nach Anzahl der Seiten im Wiki und Speicherkonfiguration kann dies zu Verlangsamung und Nichtverfügbarkeit führen; die Ressource /rest/wikis/xwiki/spaces liefert beispielsweise standardmässig alle Spaces des Wikis. Betroffen sind Versionen 16.10.10 und früher, 17.0.0-rc-1 bis 17.4.3 sowie 17.5.0-rc-1 bis 17.6.0. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 17.4.4 bzw. 16.10.11 oder neuer aktualisieren.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Platform – Lesezugriff auf Konfigurationsdateien über SSX-URLs CVE-2026-23734
• XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService CVE-2025-65091
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489