Zaloguj się
Deutsch English Español Polski
Średnia

Exposure of Private Personal Information to an Unauthorized Actor in org.xwiki.platform:xwiki-platform-rest-server

  • Ujawniono: 21.11.2022
  • Aktualizacja: 11.10.2026 11:21

Impact

The modifications rest endpoint does not filter out entries according to the user's rights. Therefore, information hidden from unauthorized users are exposed though the modifications rest endpoint (e.g., comments, page names...).

Patches

Users should upgrade to XWiki 14.6+, 14.4.3+, or13.10.8+. Older versions have not been patched.

Workarounds

No known workaround.

References

For more information

If you have any questions or comments about this advisory:

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-rest-server >= 8.1, < 13.10.8, >= 14.0.0, < 14.4.3, >= 14.5.0, < 14.6 13.10.8, 14.4.3, 14.6

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-359
Platforma
Java / Kotlin (Maven)
Paczka
org.xwiki.platform:xwiki-platform-rest-server
Ujawniono
21.11.2022
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p88w-fhxw-xvcc - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-rest-server

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum
Wszystkich wpisów
11
Pierwsza → ostatnia
11.2022 05.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 4
  • Wysoka 4
  • Średnia 3

Ujawnienia w latach

Istotność:
  1. XWiki Platform has an Unauthenticated XAR Import via REST /wikis/{wikiName}
    Krytyczna CVE-2026-33137 >= 15.10.6, < 16.10.17, >= 17.0.0-rc-1, < 17.4.9, >= 17.5.0, < 17.10.3, >= 18.0.0-rc-1, < 18.1.0-rc-1 16.10.17, 17.4.9, 17.10.3, 18.1.0-rc-1
  2. XWiki's REST APIs don't enforce any limits, leading to unavailability and OOM in large wikis
    Wysoka CVE-2025-66473 < 16.10.11, >= 17.0.0-rc-1, < 17.4.4, >= 17.5.0-rc-1, < 17.7.0-rc-1 16.10.11, 17.4.4, 17.7.0-rc-1
  3. XWiki Platform is vulnerable to HQL injection via wiki and space search REST API
    Krytyczna CVE-2025-52472 >= 17.0.0-rc-1, < 17.4.2, >= 4.3-milestone-1, < 16.10.9 17.4.2, 16.10.9
  4. XWiki makes title of inaccessible pages available through the class property values REST API
    Wysoka CVE-2025-49584 >= 10.9, < 16.4.7, >= 16.5.0-rc-1, < 16.10.3, >= 17.0.0-rc-1, < 17.0.0 16.4.7, 16.10.3, 17.0.0
  5. org.xwiki.platform:xwiki-platform-rest-server allows SQL injection in query endpoint of REST API
    Krytyczna · 9.8 CVE-2025-32969 >= 1.8, < 15.10.16, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.1 15.10.16, 16.4.6, 16.10.1
  6. XWiki allows unregistered users to access private pages information through REST endpoint
    Wysoka CVE-2025-29925 >= 1.9M1, < 15.10.14, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.0-rc-1 15.10.14, 16.4.6, 16.10.0-rc-1
  7. XWiki Platform vulnerable to cross-site request forgery (CSRF) via the REST API
    Krytyczna · 9.6 CVE-2023-37277 >= 1.8, < 14.10.8, >= 15.0-rc-1, < 15.2 14.10.8, 15.2
  8. XWiki Platform may show email addresses in clear in REST results
    Wysoka · 7.5 CVE-2023-35151 >= 7.3-milestone-1, < 14.4.8, >= 14.5, < 14.10.6, >= 15.0-rc-1, < 15.1 14.4.8, 14.10.6, 15.1
  9. Exposure of Private Personal Information to an Unauthorized Actor in org.xwiki.platform:xwiki-platform-rest-server ten wpis
    Średnia · 5.3 CVE-2022-41936 >= 8.1, < 13.10.8, >= 14.0.0, < 14.4.3, >= 14.5.0, < 14.6 13.10.8, 14.4.3, 14.6

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.