Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je cez WebJars API využitím chybného spracovania znaku „/“ v určitých URL umožnené získať prístup ku konfiguračným súborom [1].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=6.1-milestone-2, <16.10.7;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2025-55747 na cve.org, NVD
• CWE-23: Relative Path Traversal na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 3. 9. 2025.

Neautentizovanému vzdialenému útočníkovi je cez endpointy JSX/SSX použitím niektorých URL umožnené získať prístup ku konfiguračným súborom [2].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=4.2-milestone-2, <16.10.7;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2025-55748 na cve.org, NVD
• CWE-23: Relative Path Traversal na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 3. 9. 2025.

Autentizovanému vzdialenému útočníkovi je kvôli uloženiu šifrovacieho kľúča do rovnakého adresára ako stav PDF exportu (job status) obsahujúci používateľské cookies s prihlasovacími údajmi umožnené tieto údaje neoprávnene dešifrovať [3][4].

Zraniteľnosť sa nachádza v produkte:

• XWiki; >=14.4.2, <16.4.8; >=16.5.0-rc-1, <16.10.7; >=17.0.0-rc-1, <17.4.0-rc-1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

• CVE-2025-58049 na cve.org, NVD
• CWE-212: Improper Removal of Sensitive Information Before Storage or Transfer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 28. 8. 2025.