Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je kvôli nedostatočnej sanitizácii vstupov v API funkcii XWiki#searchDocuments umožnené spustiť ľubovoľný SQL dotaz v databáze Oracle, napríklad prostredníctvom funkcií ako DBMS_XMLGEN alebo DBMS_XMLQUERY [1].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=17.0.0-rc1, <=17.2.2; <=16.10.5

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2025-54385 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 7. 2025.

Neautentizovanému vzdialenému útočníkovi s oprávnením na čítanie stránky je kvôli chybe v XML exporte stránky (vyvolateľnom pripojením ?xpage=xml k URL) umožnené získať citlivé údaje, ako sú heslá alebo e-maily, ak sú uložené v iných vlastnostiach než pod názvom „password“ alebo „email“ [2].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=1.1, <16.4.7; >=16.5.0-rc-1, <16.10.5; >=17.0.0-rc-1, <17.2.0-rc-1

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2025-54125 na cve.org, NVD
• CWE-359: Exposure of Private Personal Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 8. 2025.

Autentizovanému vzdialenému útočníkovi je kvôli možnosti vytvoriť XClass s databázovou vlastnosťou odkazujúcou na heslovú položku umožnené zobraziť jej obsah, čo mu pri štandardnom nastavení práv umožňuje získať hashe hesiel ostatných používateľov a ďalšie citlivé údaje zo stránok, ku ktorým má prístup [3].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=9.8-rc-1, <16.4.7; >=16.5.0-rc-1, <16.10.5; >=17.0.0-rc-1, <17.2.0-rc-1

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2025-54124 na cve.org, NVD
• CWE-359: Exposure of Private Personal Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 8. 2025.

Neautentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu reflected XSS v dvoch šablónach XWiki umožnené spustiť škodlivý JavaScript kód v kontexte relácie obete prostredníctvom návštevy útočníkom kontrolovanej URL, a tým vykonávať ľubovoľné akcie s oprávneniami obete [4].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=4.2-milestone-3, <16.4.8; >=16.5.0-rc-1, <16.10.6; >=17.0.0-rc-1, <17.3.0-rc-1

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H

Viac informácií:

• CVE-2025-32430 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 8. 2025.