Anmelden
Deutsch English Español Polski
Kritisch

xwiki-platform-web-templates vulnerable to Eval Injection

  • Veröffentlicht: 20.04.2023
  • Aktualisiert: 11.10.2026 11:21

Impact

Any user with edit rights on a page (e.g., it's own user page), can execute arbitrary Groovy, Python or Velocity code in XWiki leading to full access to the XWiki installation. The root cause is improper escaping of the information loaded from attachments in imported.vm, importinline.vm, and packagelist.vm. This page is installed by default.

Reproduction steps are described in https://jira.xwiki.org/browse/XWIKI-20267

Patches

The vulnerability has been patched in XWiki 15.0-rc-1, 14.10.1, 14.4.8, and 13.10.11.

Workarounds

The issue can be fixed by applying this patch on imported.vm, importinline.vm, and packagelist.vm.

References

For more information

If you have any questions or comments about this advisory:

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-web-templates >= 1.0B1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1

Verweise

CVSS-Wert 9.9/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
Schwäche (CWE)
CWE-74
Plattform
Java / Kotlin (Maven)
Paket
org.xwiki.platform:xwiki-platform-web-templates
Veröffentlicht
20.04.2023
Aktualisiert
11.10.2026 11:21

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-hg5x-3w3x-7g96 - CC BY 4.0

Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-web-templates

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (23) im Archiv
Einträge insgesamt
23
Erste → letzte
02.2022 04.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 10
  • Hoch 4
  • Mittel 8
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. In XWiki Platform, payloads stored in content is executed when a user with script/programming right edit them
    Kritisch · 9.0 CVE-2024-43401 < 15.10-rc-1 15.10-rc-1
  2. XWiki Platform vulnerable to Cross-Site Scripting (XSS) through conflict resolution
    Kritisch · 9.0 CVE-2024-41947 >= 11.8-rc-1, < 15.10.8, >= 16.0.0-rc-1, < 16.3.0-rc-1 15.10.8, 16.3.0-rc-1
  3. XWiki Platform vulnerable to XSS with edit right in the create document form for existing pages
    Kritisch · 9.0 CVE-2023-45137 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  4. XWiki Platform web templates vulnerable to reflected XSS in the create document form if name validation is enabled
    Kritisch · 9.6 CVE-2023-45136 >= 12.0-rc-1, < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  5. XWiki users can be tricked to execute scripts as the create page action doesn't display the page's title
    Kritisch · 9.0 CVE-2023-45135 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  6. XWiki Platform XSS vulnerability from account in the create page form via template provider
    Kritisch · 9.0 CVE-2023-45134 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  7. XWiki Platform vulnerable to reflected cross-site scripting via back and xcontinue parameters in resubmit template
    Kritisch · 9.6 CVE-2023-35160 >= 2.5-milestone-2, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  8. XWiki Platform vulnerable to reflected cross-site scripting via xredirect parameter in deletespace template
    Kritisch · 9.6 CVE-2023-35159 >= 3.4-milestone-1, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  9. XWiki vulnerable to stored cross-site scripting via any wiki document and the displaycontent/rendercontent template
    Kritisch · 9.0 CVE-2023-34464 < 14.4.8, >= 14.5, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.4.8, 14.10.5, 15.1-rc-1
  10. xwiki-platform-web-templates vulnerable to Eval Injection dieser Eintrag
    Kritisch · 9.9 CVE-2023-29512 >= 1.0B1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  11. Improper Neutralization of Script-Related HTML Tags (XSS) in the LiveTable Macro
    Hoch · 8.9 CVE-2023-29207 >= 1.9-milestone-2, < 13.10.10, >= 14.0-rc-1, < 14.4.6, >= 14.5, < 14.9 13.10.10, 14.4.6, 14.9
  12. XWiki Platform Web Templates vulnerable to Missing Authorization, Exposure of Private Personal Information to Unauthorized Actor
    Hoch · 7.5 CVE-2022-36091 >= 1.3, < 13.10.4 13.10.4
  13. XWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution Wizard
    Hoch · 8.5 CVE-2022-36093 < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
  14. Cross site scripting in registration template in xwiki-platform
    Hoch · 7.4 CVE-2022-23622 >= 2.6.1, < 12.10.11, >= 13.0.0, < 13.4.7, >= 13.10.0, < 13.10.3 12.10.11, 13.4.7, 13.10.3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.