Średnia

No CSRF protection on the password change form

Ujawniono: 02.07.2021
Aktualizacja: 11.10.2026 12:22

Impact

It's possible for forge an URL that, when accessed by an admin, will reset the password of any user in XWiki.

Patches

The problem has been patched in XWiki 12.10.5, 13.2RC1.

Workarounds

It's possible to apply the patch manually by modifying the register_macros.vm template like in https://github.com/xwiki/xwiki-platform/commit/0a36dbcc5421d450366580217a47cc44d32f7257.

References

https://jira.xwiki.org/browse/XWIKI-18315

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira XWiki
Email us at security ML

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-administration-ui	< 12.10.5, >= 13.0, < 13.2	12.10.5, 13.2

Odnośniki

Ocena CVSS 5.7/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:N
Słabość (CWE): CWE-352
Platforma: Java / Kotlin (Maven)
Paczka: org.xwiki.platform:xwiki-platform-administration-ui
Ujawniono: 02.07.2021
Aktualizacja: 11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-v9j2-q4q5-cxh4 - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-administration-ui

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum

Wszystkich wpisów: 11
Pierwsza → ostatnia: 07.2021 12.2024
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 8
Wysoka 2
Średnia 1

Ujawnienia w latach

2021: 1
2022: 2
2023: 6
2024: 2
2025: 0
2026: 0

12.12.2024

XWiki allows RCE from script right in configurable sections

Krytyczna · 9.1 CVE-2024-55879 >= 2.3, < 15.10.9, >= 16.0.0-rc-1, < 16.3.0 15.10.9, 16.3.0
08.01.2024

XWiki Remote Code Execution Vulnerability via User Registration

Krytyczna · 10.0 CVE-2024-21650 >= 2.2, < 14.10.17, >= 15.0-rc-1, < 15.5.3, >= 15.6-rc-1, < 15.8-rc-1 14.10.17, 15.5.3, 15.8-rc-1
16.12.2023

Remote code execution/programming rights with configuration section from any user account

Krytyczna · 9.9 CVE-2023-50723 >= 2.3, < 14.10.15, >= 15.0-rc-1, < 15.5.2, >= 15.6-rc-1, < 15.7-rc-1 14.10.15, 15.5.2, 15.7-rc-1
16.12.2023

XSS/CSRF Remote Code Execution in XWiki.ConfigurableClass

Krytyczna · 9.6 CVE-2023-50722 >= 2.3, < 14.10.15, >= 15.0-rc-1, < 15.5.2, >= 15.6-rc-1, < 15.7-rc-1 14.10.15, 15.5.2, 15.7-rc-1
08.11.2023

XWiki Platform vulnerable to remote code execution through the section parameter in Administration as guest

Krytyczna · 10.0 CVE-2023-46731 < 14.10.14, >= 15.0-rc-1, < 15.5.1 14.10.14, 15.5.1
20.04.2023

XWiki vulnerable to Code Injection in template provider administration

Krytyczna · 9.9 CVE-2023-29514 >= 4.2-milestone-1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
19.04.2023

Code injection via unescaped translations in xwiki-platform

Krytyczna · 9.9 CVE-2023-29510 >= 4.3-milestone-2, < 14.10.2 14.10.2
12.04.2023

xwiki-platform-administration-ui vulnerable to privilege escalation

Krytyczna · 9.9 CVE-2023-29511 >= 1.5M2, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
10.02.2022

Cross-Site Request Forgery in xwiki-platform

Wysoka · 7.5 CVE-2021-32732 < 12.10.5, >= 13.0, < 13.2RC1 12.10.5, 13.2RC1
09.02.2022

Remote code execution in xwiki-platform

Wysoka · 8.8 CVE-2022-23616 >= 3.1-milestone-1, < 13.1RC1 13.1RC1
02.07.2021

No CSRF protection on the password change form ten wpis

Średnia · 5.7 CVE-2021-32730 < 12.10.5, >= 13.0, < 13.2 12.10.5, 13.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację