Hoch

XWiki Platform may show email addresses in clear in REST results

Veröffentlicht: 20.06.2023
Aktualisiert: 11.10.2026 11:21

Impact

Any user can call a REST endpoint and obtain the obfuscated passwords (even when the mail obfuscation is activated).

For instance, by calling http://localhost:8080/xwiki/rest/wikis/xwiki/spaces/XWiki/pages/U1/objects/XWiki.XWikiUsers/0 when user U1 exists on wiki xwiki.

Patches

The issue has been patched on XWiki 14.4.8, 14.10.6, and 15.1

Workarounds

There is no known workaround. It is advised to upgrade to one of the patched versions.

References

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira XWiki.org
Email us at Security Mailing List

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-rest-server	>= 7.3-milestone-1, < 14.4.8, >= 14.5, < 14.10.6, >= 15.0-rc-1, < 15.1	14.4.8, 14.10.6, 15.1

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-359, CWE-668
Plattform: Java / Kotlin (Maven)
Paket: org.xwiki.platform:xwiki-platform-rest-server
Veröffentlicht: 20.06.2023
Aktualisiert: 11.10.2026 11:21

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-8g9c-c9cm-9c56 - CC BY 4.0

Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-rest-server

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (11) im Archiv

Einträge insgesamt: 11
Erste → letzte: 11.2022 05.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 4
Hoch 4
Mittel 3

Veröffentlichungen pro Jahr

2022: 1
2023: 2
2024: 1
2025: 6
2026: 1

26.05.2026

XWiki Platform has an Unauthenticated XAR Import via REST /wikis/{wikiName}

Kritisch CVE-2026-33137 >= 15.10.6, < 16.10.17, >= 17.0.0-rc-1, < 17.4.9, >= 17.5.0, < 17.10.3, >= 18.0.0-rc-1, < 18.1.0-rc-1 16.10.17, 17.4.9, 17.10.3, 18.1.0-rc-1
10.12.2025

XWiki's REST APIs don't enforce any limits, leading to unavailability and OOM in large wikis

Hoch CVE-2025-66473 < 16.10.11, >= 17.0.0-rc-1, < 17.4.4, >= 17.5.0-rc-1, < 17.7.0-rc-1 16.10.11, 17.4.4, 17.7.0-rc-1
06.10.2025

XWiki Platform is vulnerable to HQL injection via wiki and space search REST API

Kritisch CVE-2025-52472 >= 17.0.0-rc-1, < 17.4.2, >= 4.3-milestone-1, < 16.10.9 17.4.2, 16.10.9
13.06.2025

XWiki makes title of inaccessible pages available through the class property values REST API

Hoch CVE-2025-49584 >= 10.9, < 16.4.7, >= 16.5.0-rc-1, < 16.10.3, >= 17.0.0-rc-1, < 17.0.0 16.4.7, 16.10.3, 17.0.0
23.04.2025

org.xwiki.platform:xwiki-platform-rest-server allows SQL injection in query endpoint of REST API

Kritisch · 9.8 CVE-2025-32969 >= 1.8, < 15.10.16, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.1 15.10.16, 16.4.6, 16.10.1
19.03.2025

XWiki allows unregistered users to access private pages information through REST endpoint

Hoch CVE-2025-29925 >= 1.9M1, < 15.10.14, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.0-rc-1 15.10.14, 16.4.6, 16.10.0-rc-1
10.07.2023

XWiki Platform vulnerable to cross-site request forgery (CSRF) via the REST API

Kritisch · 9.6 CVE-2023-37277 >= 1.8, < 14.10.8, >= 15.0-rc-1, < 15.2 14.10.8, 15.2
20.06.2023

XWiki Platform may show email addresses in clear in REST results dieser Eintrag

Hoch · 7.5 CVE-2023-35151 >= 7.3-milestone-1, < 14.4.8, >= 14.5, < 14.10.6, >= 15.0-rc-1, < 15.1 14.4.8, 14.10.6, 15.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden