Zaloguj się
Deutsch English Español Polski
Krytyczna

XWiki Platform's async and display macro allow displaying and interacting with any document in restricted mode

  • Ujawniono: 20.04.2023
  • Aktualizacja: 11.10.2026 11:21

Impact

It's possible to display any page you cannot access through the combination of the async and display macro.

Steps to reproduce:

  1. Enable comments for guests by giving guests comment rights
  2. As a guest, create a comment with content {{async}}{{display reference="Menu.WebHome" /}}{{/async}}
  3. Open the comments viewer from the menu (appends ?viewer=comments to the URL)

-> the Menu.WebHome is displayed while the expectation would be to have an error that the current user is not allowed to see it

Patches

The vulnerability has been patched in XWiki 15.0-rc-1, 14.10.3, 14.4.8, and 13.10.11.

Workarounds

There is no known workaround.

References

https://jira.xwiki.org/browse/XWIKI-20394 https://jira.xwiki.org/browse/XRENDERING-694

For more information

If you have any questions or comments about this advisory:

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-oldcore >= 10.11.1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.3 13.10.11, 14.4.8, 14.10.3
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-rendering-async-macro >= 10.11.1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.3 13.10.11, 14.4.8, 14.10.3

Odnośniki

Ocena CVSS 9.9/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Słabość (CWE)
CWE-284, CWE-74
Platforma
Java / Kotlin (Maven)
Paczka
org.xwiki.platform:xwiki-platform-oldcore, org.xwiki.platform:xwiki-platform-rendering-async-macro
Ujawniono
20.04.2023
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-gpq5-7p34-vqx5 - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-oldcore

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (46) w archiwum
Wszystkich wpisów
46
Pierwsza → ostatnia
09.2020 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 12
  • Wysoka 17
  • Średnia 15
  • Niska 2

Ujawnienia w latach

Istotność:
  1. XWiki Platform Old Core: Resource path traversal via /skin/ action endpoint in Jetty 12+
    Wysoka CVE-2026-34151 < 17.10.5, >= 18.0.0-rc-1, < 18.2.0 17.10.5, 18.2.0
  2. XWiki vulnerable to remote code execution with script right through unprotected Velocity scripting API
    Wysoka CVE-2026-33229 >= 17.0.0-rc-1, < 17.4.8, >= 17.5.0-rc-1, < 17.10.1 17.4.8, 17.10.1
  3. XWiki exposes passwords and emails stored in fields not named password/email in xml.vm
    Wysoka CVE-2025-54125 >= 1.1, < 16.4.7, >= 16.5.0-rc-1, < 16.10.5, >= 17.0.0-rc-1, < 17.2.0-rc-1 16.4.7, 16.10.5, 17.2.0-rc-1
  4. XWiki leaks password hashes and other accessible password properties
    Wysoka CVE-2025-54124 >= 9.8-rc-1, < 16.4.7, >= 16.5.0-rc-1, < 16.10.5, >= 17.0.0-rc-1, < 17.2.0-rc-1 16.4.7, 16.10.5, 17.2.0-rc-1
  5. XWiki Platform vulnerable to SQL injection through XWiki#searchDocuments API
    Wysoka CVE-2025-54385 >= 1.0, < 16.10.6, >= 17.0.0-rc1, < 17.3.0-rc-1 16.10.6, 17.3.0-rc-1
  6. XWiki allows remote code execution through preview of XClass changes in AWM editor
    Wysoka CVE-2025-49586 >= 7.2-milestone-2, < 16.4.7, >= 16.5.0-rc-1, < 16.10.3, >= 17.0.0-rc-1, < 17.0.0 16.4.7, 16.10.3, 17.0.0
  7. XWiki allows SQL injection in query endpoint of REST API with Oracle
    Krytyczna CVE-2024-56158 >= 1.0, < 15.10.16, >= 16.0.0-rc-1, < 16.4.7, >= 16.5.0-rc-1, < 16.10.2 15.10.16, 16.4.7, 16.10.2
  8. org.xwiki.platform:xwiki-platform-oldcore allows SQL injection in short form select requests through the script query API
    Wysoka CVE-2025-32968 >= 1.6-milestone-1, < 15.10.16, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.1 15.10.16, 16.4.6, 16.10.1
  9. XWiki Platform allows XSS through XClass name in string properties
    Krytyczna · 9.0 CVE-2024-43400 >= 1.1.2, < 14.10.21, >= 15.0-rc-1, < 15.5.5, >= 15.6-rc-1, < 15.10.6, >= 16.0.0-rc-1, < 16.0.0 14.10.21, 15.5.5, 15.10.6, 16.0.0
  10. XWiki Platform allows remote code execution from user account
    Krytyczna · 9.0 CVE-2024-37899 >= 13.4.7, < 14.10.21, >= 13.10.3, < 14.10.21, >= 15.0-rc-1, < 15.5.5, >= 15.6-rc-1, < 15.10.6, >= 16.0.0-rc-1, < 16.0.0 14.10.21, 15.5.5, 15.10.6, 16.0.0
  11. XWiki Platform remote code execution from account via custom skins support
    Krytyczna · 9.9 CVE-2024-31987 >= 6.4-milestone-1, < 14.10.19, >= 15.0-rc-1, < 15.5.4, >= 15.6-rc-1, < 15.10-rc-1 14.10.19, 15.5.4, 15.10-rc-1
  12. XWiki Platform: Privilege escalation (PR) from user registration through PDFClass
    Krytyczna · 9.9 CVE-2024-31981 >= 3.0.1, < 14.10.20, >= 15.0-rc-1, < 15.5.4, >= 15.6-rc-1, < 15.10-rc-1 14.10.20, 15.5.4, 15.10-rc-1
  13. XWiki has no right protection on rollback action
    Wysoka · 8.0 CVE-2024-21648 >= 1.0, < 14.10.17 14.10.17
  14. XWiki Platform vulnerable to privilege escalation and remote code execution via the edit action
    Wysoka · 8.8 CVE-2023-46243 >= 15.0, < 15.2-rc-1, >= 1.0, < 14.10.6 15.2-rc-1, 14.10.6
  15. XWiki Platform vulnerable to remote code execution via the edit action because it lacks CSRF token
    Krytyczna · 9.6 CVE-2023-46242 >= 1.0, < 14.10.7, >= 15.0, < 15.2-rc-1 14.10.7, 15.2-rc-1
  16. XWiki Platform vulnerable to CSRF privilege escalation/RCE via the create action
    Wysoka · 8.0 CVE-2023-40572 >= 3.2-milestone-3, < 14.10.9, >= 15.0-rc-1, < 15.4-rc-1 14.10.9, 15.4-rc-1
  17. Upgrading doesn't prevent exploiting vulnerable XWiki documents
    Krytyczna · 9.9 CVE-2023-36468 >= 2.0, < 14.10.7, >= 15.0-rc-1, < 15.2-rc-1 14.10.7, 15.2-rc-1
  18. XWiki Platform vulnerable to reflected cross-site scripting via delattachment action
    Wysoka · 8.4 CVE-2023-35157 >= 3.2-milestone-3, < 14.10.6, >= 15.0-rc-0, < 15.1-rc-1 14.10.6, 15.1-rc-1
  19. XWiki Platform's async and display macro allow displaying and interacting with any document in restricted mode ten wpis
    Krytyczna · 9.9 CVE-2023-29526 >= 10.11.1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.3 13.10.11, 14.4.8, 14.10.3
  20. XWiki Platform vulnerable to code injection in display method used in user profiles
    Krytyczna · 9.9 CVE-2023-29523 >= 3.3-milestone-1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.2 13.10.11, 14.4.8, 14.10.2
  21. org.xwiki.platform:xwiki-platform-oldcore makes Incorrect Use of Privileged APIs with DocumentAuthors
    Krytyczna · 9.1 CVE-2023-29507 >= 14.5, < 14.10, >= 14.4.1, < 14.4.7 14.10, 14.4.7
  22. org.xwiki.platform:xwiki-platform-oldcore vulnerable to data leak through deleted documents
    Wysoka · 7.5 CVE-2023-29208 >= 1.2-milestone-1, < 13.10.11, >= 14.0-rc-1, < 14.4.7, >= 14.5, < 14.10 13.10.11, 14.4.7, 14.10
  23. XWiki Platform vulnerable to privilege escalation via properties with wiki syntax that are executed with wrong author
    Krytyczna · 9.9 CVE-2023-26474 >= 13.10, < 13.10.11, >= 14.0, < 14.4.7, >= 14.5, < 14.10 13.10.11, 14.4.7, 14.10
  24. Creation of new database tables through login form on PostgreSQL
    Wysoka · 7.5 CVE-2022-41932 < 13.10.8, >= 14.0.0, < 14.4.2, >= 14.5.0, < 14.6-rc-1 13.10.8, 14.4.2, 14.6-rc-1
  25. XWiki.WebHome vulnerable to Improper Privilege Management in XWiki resolving groups
    Wysoka · 8.1 CVE-2022-31166 >= 11.3.7, < 13.10.4, >= 14.0-rc-1, < 14.2-rc-1 13.10.4, 14.2-rc-1
  26. XWiki Platform Improper Authorization check for inactive users
    Wysoka · 8.1 CVE-2022-36090 >= 1.1, < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
  27. XWiki Platform Old Core vulnerable to Authentication Bypass Using the Login Action
    Wysoka · 7.5 CVE-2022-36092 < 13.10.4, >= 14.0, < 14.2 13.10.4, 14.2
  28. XSS Cross Site Scripting
    Krytyczna · 9.6 CVE-2021-29459 < 12.6.3, >= 12.6.4, < 12.8 12.6.3, 12.8
  29. RCE in XWiki
    Wysoka · 8.5 CVE-2020-15252 < 11.10.6, >= 12.0, < 12.5 11.10.6, 12.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.