Mittel

xwiki contains Incorrect Authorization

Veröffentlicht: 03.03.2023
Aktualisiert: 11.10.2026 13:19

Impact

It's possible to execute a script with the right of another user (provided the target user does not have programming right).

For example, the following:

{{context document="xwiki:XWiki.userwithscriptright" transformationContext="document"}}{{velocity}}Hello from Velocity!{{/velocity}}{{/context}}

written by a user not having script right (for example in the user's profile) should produce an error (the user is not allowed to write scripts). However, because of the vulnerability, if the author of the document "xwiki:XWiki.userwithscriptright" has script right (but not programming right) the script will be executed with as if it was written by the target user.

Patches

The problem has been patched in XWiki 14.8RC1, 14.4.5 and 13.10.10.

Workarounds

There's no workaround for this issue.

References

https://jira.xwiki.org/browse/XWIKI-19856

For more information

If you have any questions or comments about this advisory:

Open an issue in JIRA
Email us at security ML

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-rendering-macro-context	>= 3.0-milestone-1, < 13.10.10, >= 14.0-rc-1, < 14.4.5, >= 14.5, < 14.8-rc-1	13.10.10, 14.4.5, 14.8-rc-1

Verweise

CVSS-Wert 5.4/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Schwäche (CWE): CWE-863
Plattform: Java / Kotlin (Maven)
Paket: org.xwiki.platform:xwiki-platform-rendering-macro-context
Veröffentlicht: 03.03.2023
Aktualisiert: 11.10.2026 13:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-859x-p6jp-rc2w - CC BY 4.0

Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-rendering-macro-context

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 03.2023 06.2025
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 1

Veröffentlichungen pro Jahr

2023: 1
2024: 0
2025: 1
2026: 0

13.06.2025

XWiki's required right warnings for macros are incomplete

Hoch CVE-2025-49582 >= 15.9-rc-1, < 16.4.7, >= 16.5.0-rc-1, < 16.10.3, >= 17.0.0-rc-1, < 17.0.0 16.4.7, 16.10.3, 17.0.0
03.03.2023

xwiki contains Incorrect Authorization dieser Eintrag

Mittel · 5.4 CVE-2023-26056 >= 3.0-milestone-1, < 13.10.10, >= 14.0-rc-1, < 14.4.5, >= 14.5, < 14.8-rc-1 13.10.10, 14.4.5, 14.8-rc-1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden