Zaloguj się
Deutsch English Español Polski
Średnia

XWiki has Reflected Cross-Site Scripting (XSS) in page history compare

  • Ujawniono: 14.04.2026
  • Aktualizacja: 11.10.2026 12:22

Impact

A reflected cross-site scripting vulnerability (XSS) in the compare view between revisions of a page allows executing JavaScript code in the user's browser. If the current user is an admin, this can not only affect the current user but also the confidentiality, integrity and availability of the whole XWiki instance.

Patches

The problem has been patched by properly escaping the URL parameters.

Workarounds

The patch can be applied manually to templates/changesdoc.vm in the deployed WAR.

Attribution

XWiki thanks Mike Cole @mikecole-mg for discovering and reporting this vulnerability.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-web-templates >= 10.4-rc-1, < 16.10.16, >= 17.0.0-rc-1, < 17.4.8, >= 17.5.0-rc-1, < 17.10.1 16.10.16, 17.4.8, 17.10.1

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-80
Platforma
Java / Kotlin (Maven)
Paczka
org.xwiki.platform:xwiki-platform-web-templates
Ujawniono
14.04.2026
Aktualizacja
11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-w4fj-87j5-f25c - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-web-templates

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (23) w archiwum
Wszystkich wpisów
23
Pierwsza → ostatnia
02.2022 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 10
  • Wysoka 4
  • Średnia 8
  • Niska 1

Ujawnienia w latach

Istotność:
  1. XWiki has Reflected Cross-Site Scripting (XSS) in page history compare ten wpis
    Średnia · 6.1 CVE-2026-40105 >= 10.4-rc-1, < 16.10.16, >= 17.0.0-rc-1, < 17.4.8, >= 17.5.0-rc-1, < 17.10.1 16.10.16, 17.4.8, 17.10.1
  2. In XWiki Platform, payloads stored in content is executed when a user with script/programming right edit them
    Krytyczna · 9.0 CVE-2024-43401 < 15.10-rc-1 15.10-rc-1
  3. XWiki Platform vulnerable to Cross-Site Scripting (XSS) through conflict resolution
    Krytyczna · 9.0 CVE-2024-41947 >= 11.8-rc-1, < 15.10.8, >= 16.0.0-rc-1, < 16.3.0-rc-1 15.10.8, 16.3.0-rc-1
  4. XWiki Platform vulnerable to XSS with edit right in the create document form for existing pages
    Krytyczna · 9.0 CVE-2023-45137 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  5. XWiki Platform web templates vulnerable to reflected XSS in the create document form if name validation is enabled
    Krytyczna · 9.6 CVE-2023-45136 >= 12.0-rc-1, < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  6. XWiki users can be tricked to execute scripts as the create page action doesn't display the page's title
    Krytyczna · 9.0 CVE-2023-45135 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  7. XWiki Platform XSS vulnerability from account in the create page form via template provider
    Krytyczna · 9.0 CVE-2023-45134 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  8. XWiki Platform vulnerable to reflected cross-site scripting via back and xcontinue parameters in resubmit template
    Krytyczna · 9.6 CVE-2023-35160 >= 2.5-milestone-2, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  9. XWiki Platform vulnerable to reflected cross-site scripting via xredirect parameter in deletespace template
    Krytyczna · 9.6 CVE-2023-35159 >= 3.4-milestone-1, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  10. XWiki vulnerable to stored cross-site scripting via any wiki document and the displaycontent/rendercontent template
    Krytyczna · 9.0 CVE-2023-34464 < 14.4.8, >= 14.5, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.4.8, 14.10.5, 15.1-rc-1
  11. xwiki-platform-web-templates vulnerable to Eval Injection
    Krytyczna · 9.9 CVE-2023-29512 >= 1.0B1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  12. Improper Neutralization of Script-Related HTML Tags (XSS) in the LiveTable Macro
    Wysoka · 8.9 CVE-2023-29207 >= 1.9-milestone-2, < 13.10.10, >= 14.0-rc-1, < 14.4.6, >= 14.5, < 14.9 13.10.10, 14.4.6, 14.9
  13. XWiki Platform Web Templates vulnerable to Missing Authorization, Exposure of Private Personal Information to Unauthorized Actor
    Wysoka · 7.5 CVE-2022-36091 >= 1.3, < 13.10.4 13.10.4
  14. XWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution Wizard
    Wysoka · 8.5 CVE-2022-36093 < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
  15. Cross site scripting in registration template in xwiki-platform
    Wysoka · 7.4 CVE-2022-23622 >= 2.6.1, < 12.10.11, >= 13.0.0, < 13.4.7, >= 13.10.0, < 13.10.3 12.10.11, 13.4.7, 13.10.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.