XWiki opravuje vysoce závažnou zranitelnost

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] XWiki opravuje vysoce závažnou zranitelnost

XWiki verzemi 17.4.8 a 17.10.1 opravuje vysoce závažnou zranitelnost [1].

XWiki Platform - RCE (CVE-2026-33229)

CVSS 8.6 (High)

Autentizovanému vzdálenému útočníkovi s oprávněním Script je kvůli nedostatečné ochraně skriptovacího API umožněno obejít sandbox ve Velocity, spustit libovolné Python skripty a získat plný přístup k instanci [1].

Zranitelnost se nachází v produktu:

XWiki; >=17.0.0-rc-1, <17.4.8; >=17.5.0-rc-1, <17.10.1;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

CVE-2026-33229 na cve.org, NVD
CWE-862: Missing Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 4. 2026.

Odkazy

[1] https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-h259-74h5-4rh9

Za CESNET, z.s.p.o. Michaela Jarošová dne 9. 4. 2026.

Zpětná vazba k reportu

[TLP:CLEAR] XWiki opravuje vysoce závažnou zranitelnost

XWiki Platform - RCE (CVE-2026-33229)

CVSS 8.6 (High)

Odkazy