Zaloguj się
Deutsch English Español Polski
Wysoka

Remote code execution in xwiki-platform

  • Ujawniono: 09.02.2022
  • Aktualizacja: 11.10.2026 11:21

Impact

It's possible for an unprivileged user to perform a remote code execution by injecting a groovy script in her own profile and by calling the Reset password feature since the feature is performing a save of the user profile with programming rights in the impacted versions of XWiki.

Patches

The problem has been patched in XWiki 13.1RC1 with a complete refactoring of the Reset password feature.

Workarounds

There's different possible workarounds, all consisting in modifying the XWiki/ResetPassword page.

  • the Reset password feature can be entirely disabled by deleting the XWiki/ResetPassword page
  • the script in XWiki/ResetPassword can also be modified or removed: an administrator can replace it with a simple email contact to ask an administrator to reset the password.

References

https://jira.xwiki.org/browse/XWIKI-16661

For more information

If you have any questions or comments about this advisory:

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-administration-ui >= 3.1-milestone-1, < 13.1RC1 13.1RC1

Odnośniki

Ocena CVSS 8.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-74
Platforma
Java / Kotlin (Maven)
Paczka
org.xwiki.platform:xwiki-platform-administration-ui
Ujawniono
09.02.2022
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-mgjw-2wrp-r535 - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-administration-ui

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum
Wszystkich wpisów
11
Pierwsza → ostatnia
07.2021 12.2024
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 8
  • Wysoka 2
  • Średnia 1

Ujawnienia w latach

Istotność:
  1. XWiki allows RCE from script right in configurable sections
    Krytyczna · 9.1 CVE-2024-55879 >= 2.3, < 15.10.9, >= 16.0.0-rc-1, < 16.3.0 15.10.9, 16.3.0
  2. XWiki Remote Code Execution Vulnerability via User Registration
    Krytyczna · 10.0 CVE-2024-21650 >= 2.2, < 14.10.17, >= 15.0-rc-1, < 15.5.3, >= 15.6-rc-1, < 15.8-rc-1 14.10.17, 15.5.3, 15.8-rc-1
  3. Remote code execution/programming rights with configuration section from any user account
    Krytyczna · 9.9 CVE-2023-50723 >= 2.3, < 14.10.15, >= 15.0-rc-1, < 15.5.2, >= 15.6-rc-1, < 15.7-rc-1 14.10.15, 15.5.2, 15.7-rc-1
  4. XSS/CSRF Remote Code Execution in XWiki.ConfigurableClass
    Krytyczna · 9.6 CVE-2023-50722 >= 2.3, < 14.10.15, >= 15.0-rc-1, < 15.5.2, >= 15.6-rc-1, < 15.7-rc-1 14.10.15, 15.5.2, 15.7-rc-1
  5. XWiki Platform vulnerable to remote code execution through the section parameter in Administration as guest
    Krytyczna · 10.0 CVE-2023-46731 < 14.10.14, >= 15.0-rc-1, < 15.5.1 14.10.14, 15.5.1
  6. XWiki vulnerable to Code Injection in template provider administration
    Krytyczna · 9.9 CVE-2023-29514 >= 4.2-milestone-1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  7. Code injection via unescaped translations in xwiki-platform
    Krytyczna · 9.9 CVE-2023-29510 >= 4.3-milestone-2, < 14.10.2 14.10.2
  8. xwiki-platform-administration-ui vulnerable to privilege escalation
    Krytyczna · 9.9 CVE-2023-29511 >= 1.5M2, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  9. Cross-Site Request Forgery in xwiki-platform
    Wysoka · 7.5 CVE-2021-32732 < 12.10.5, >= 13.0, < 13.2RC1 12.10.5, 13.2RC1
  10. Remote code execution in xwiki-platform ten wpis
    Wysoka · 8.8 CVE-2022-23616 >= 3.1-milestone-1, < 13.1RC1 13.1RC1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.