Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] XWiki opravuje 2 zraniteľnosti

XWiki Platform vo verziách 16.10.9, 17.5.0 a 17.4.2 a OIDC Authenticator pre XWiki vo verzii 2.18.2 opravujú 2 zraniteľnosti [1][2].

XWiki - HQL injection (CVE-2025-52472)
CVSS 9.3 (Critical)

Neautentifikovanému vzdialenému útočníkovi je kvôli neošetrenému a duplicitnému vloženiu hodnoty orderField do častí select a order v dopyte Hibernate Query Language (HQL) umožnené vykonať HQL injection útok [1].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >= 4.3-milestone-1, <16.10.9

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

  • CVE-2025-52472 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 10. 2025.

XWiki - obídenie autentifikácie (CVE-2025-49594)
CVSS 9.2 (Critical)

Neautentifikovanému vzdialenému útočníkovi je kvôli nedostatočnej kontrole oprávnení pri vytváraní autentifikačných tokenov v module oidc-provider umožnené získať token pre ľubovoľného používateľa, ktorého profil môže zobraziť, a následne sa za neho prihlásiť [2].

Zraniteľnosť sa nachádza v produkte:

  • XWiki OIDC; >= 2.17.1, <2.18.2

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 6. 10. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 9. 10. 2025.

CESNET, z.s.p.o. Logo