Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] XWiki opravuje 9 zraniteľností

XWiki vo verziách 16.4.7, 16.10.3 a 17.0.0 opravuje 9 zraniteľností. Najzávažnejšie z nich sú popísané nižšie, zvyšné nájdete na [1][2][3].

XWiki - SQL injection (CVE-2024-56158)
CVSS 9.3 (Critical)

Neautentifikovanému vzdialenému útočníkovi je prostredníctvom REST API umožnené vykonať útok SQL injection nad Oracle databázou s využitím funkcií ako DBMS_XMLGEN alebo DBMS_XMLQUERY [4].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >=1.0, <15.10.16; >=16.4, <16.4.7; >=16.10, <16.10.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

  • CVE-2024-56158 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 6. 2025.

XWiki - RCE (CVE-2025-49581)
CVSS 8.7 (High)

Autentifikovanému vzdialenému útočníkovi s oprávnením upravovať stránku je kvôli nesprávnemu vyhodnocovaniu predvolených hodnôt parametrov v používateľsky definovaných wiki makrách umožnené spustiť ľubovoľný kód (Groovy, Python, Velocity) s právami programátora, čo môže viesť k úplnej kompromitácii inštalácie XWiki [5]. Viac informácií a PoC k zraniteľnosti nájdete na [5][6].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >=11.10.11, <12.0; >=12.6.3, <12.7; >=12.8-rc-1, <16.4.7; >=16.5.0-rc-1, <16.10.3; >=17.0.0-rc-1, <17.0.0;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 6. 2025.

XWiki - sensitive information disclosure (CVE-2025-49584)
CVSS 8.7 (High)

Neautentifikovanému vzdialenému útočníkovi je cez REST API umožnené čítať titulky stránok, ku ktorým nemá oprávnenie na prístup, ak pozná ich presnú referenciu a má prístup k XClass obsahujúcej vlastnosť typu 'page', čo môže viesť k úniku citlivých informácií o obsahu a štruktúre wiki [7]. Plne súkromné wiki [8] touto zraniteľnosťou postihnuté nie sú.

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >=10.9, <16.4.7; >=16.5.0-rc-1, <16.10.3; >=17.0.0-rc-1, <17.0.0;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 6. 2025.

XWiki - RCE (CVE-2025-49586)
CVSS 8.7 (High)

Autentifikovanému vzdialenému útočníkovi s oprávnením upravovať aspoň jednu aplikáciu vytvorenú pomocou App Within Minutes (AWM) je jej úpravou umožnené spustiť ľubovoľný kód s právami programátora [9]. Ak nie je možná okamžitá aktualizácia na opravenú verziu, riziko možno dočasne mitigovať obmedzením práva upravovať všetky existujúce aplikácie vytvorené pomocou AWM iba na dôveryhodných používateľov. Toto opatrenie však mitiguje iba známy spôsob zneužitia (PoC) a nemožno vylúčiť existenciu iných. Viac informácií a PoC k zraniteľnosti nájdete na [9][10].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >=7.2-milestone-2, <16.4.7; >=16.5.0-rc-1, <16.10.3; >=17.0.0-rc-1, <17.0.0;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 6. 2025.

XWiki - RCE (CVE-2025-49582)
CVSS 8.6 (High)

Autentifikovanému vzdialenému útočníkovi s oprávnením upravovať stránku je kvôli neúplnej implementácii varovaní pred nebezpečnými makrami umožnené skryť škodlivý skript (vrátane Groovy alebo Python) v parametroch makier, ktorý sa následne vykoná s právami programátora, ak iný používateľ stránku edituje. Viac informácií o zraniteľnosti nájdete na [11].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >=15.9-rc-1, <16.4.7; >=16.5.0-rc-1, <16.10.3; >=17.0.0-rc-1, <17.0.0;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 6. 2025.

XWiki - RCE (CVE-2025-49585)
CVSS 8.6 (High)

Autentifikovanému vzdialenému útočníkovi s oprávnením upravovať stránku je kvôli absencii varovania pri úpravách dokumentov s nebezpečnými vlastnosťami umožnené vložiť škodlivý kód, ktorý je potom vykonaný s právami používateľa s vyšším oprávnením (napr. programátora) [12].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; <15.10.16; >=16.0.0-rc-1, <16.4.7; >=16.5.0-rc-1, <16.10.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:L/SI:L/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 6. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 17. 6. 2025.

CESNET, z.s.p.o. Logo