XWiki's REST APIs don't enforce any limits, leading to unavailability and OOM in large wikis
Impact
XWiki's REST API doesn't enforce any limits for the number of items that can be requested in a single request at the moment. Depending on the number of pages in the wiki and the memory configuration, this can lead to slowness and unavailability of the wiki. As an example, the /rest/wikis/xwiki/spaces resource returns all spaces on the wiki by default, which are basically all pages.
Patches
XWiki 17.7.0RC1, 17.4.4 and 16.10.11 introduce a configurable limit, limiting responses to 1000 items by default. Requesting larger limits leads to an error now.
Workarounds
We're not aware of any workaround, except denying access to the affected REST resources in a proxy in front of XWiki.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | org.xwiki.platform:xwiki-platform-rest-server | < 16.10.11, >= 17.0.0-rc-1, < 17.4.4, >= 17.5.0-rc-1, < 17.7.0-rc-1 | 16.10.11, 17.4.4, 17.7.0-rc-1 |
Verweise
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-770- Plattform
- Java / Kotlin (Maven)
- Paket
org.xwiki.platform:xwiki-platform-rest-server- Veröffentlicht
- 10.12.2025
- Aktualisiert
- 11.10.2026 12:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-cc84-q3v3-mhgf - CC BY 4.0
Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-rest-server
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 11
- Erste → letzte
- 11.2022 05.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 4
- Hoch 4
- Mittel 3
Veröffentlichungen pro Jahr
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 6
- 2026: 1
-
XWiki's REST APIs don't enforce any limits, leading to unavailability and OOM in large wikis dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.