Anmelden
Deutsch English Español Polski
Mittel

No CSRF protection on the password change form

  • Veröffentlicht: 02.07.2021
  • Aktualisiert: 11.10.2026 12:22

Impact

It's possible for forge an URL that, when accessed by an admin, will reset the password of any user in XWiki.

Patches

The problem has been patched in XWiki 12.10.5, 13.2RC1.

Workarounds

It's possible to apply the patch manually by modifying the register_macros.vm template like in https://github.com/xwiki/xwiki-platform/commit/0a36dbcc5421d450366580217a47cc44d32f7257.

References

https://jira.xwiki.org/browse/XWIKI-18315

For more information

If you have any questions or comments about this advisory:

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-administration-ui < 12.10.5, >= 13.0, < 13.2 12.10.5, 13.2

Verweise

CVSS-Wert 5.7/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:N
Schwäche (CWE)
CWE-352
Plattform
Java / Kotlin (Maven)
Paket
org.xwiki.platform:xwiki-platform-administration-ui
Veröffentlicht
02.07.2021
Aktualisiert
11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-v9j2-q4q5-cxh4 - CC BY 4.0

Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-administration-ui

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (11) im Archiv
Einträge insgesamt
11
Erste → letzte
07.2021 12.2024
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 8
  • Hoch 2
  • Mittel 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. XWiki allows RCE from script right in configurable sections
    Kritisch · 9.1 CVE-2024-55879 >= 2.3, < 15.10.9, >= 16.0.0-rc-1, < 16.3.0 15.10.9, 16.3.0
  2. XWiki Remote Code Execution Vulnerability via User Registration
    Kritisch · 10.0 CVE-2024-21650 >= 2.2, < 14.10.17, >= 15.0-rc-1, < 15.5.3, >= 15.6-rc-1, < 15.8-rc-1 14.10.17, 15.5.3, 15.8-rc-1
  3. Remote code execution/programming rights with configuration section from any user account
    Kritisch · 9.9 CVE-2023-50723 >= 2.3, < 14.10.15, >= 15.0-rc-1, < 15.5.2, >= 15.6-rc-1, < 15.7-rc-1 14.10.15, 15.5.2, 15.7-rc-1
  4. XSS/CSRF Remote Code Execution in XWiki.ConfigurableClass
    Kritisch · 9.6 CVE-2023-50722 >= 2.3, < 14.10.15, >= 15.0-rc-1, < 15.5.2, >= 15.6-rc-1, < 15.7-rc-1 14.10.15, 15.5.2, 15.7-rc-1
  5. XWiki Platform vulnerable to remote code execution through the section parameter in Administration as guest
    Kritisch · 10.0 CVE-2023-46731 < 14.10.14, >= 15.0-rc-1, < 15.5.1 14.10.14, 15.5.1
  6. XWiki vulnerable to Code Injection in template provider administration
    Kritisch · 9.9 CVE-2023-29514 >= 4.2-milestone-1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  7. Code injection via unescaped translations in xwiki-platform
    Kritisch · 9.9 CVE-2023-29510 >= 4.3-milestone-2, < 14.10.2 14.10.2
  8. xwiki-platform-administration-ui vulnerable to privilege escalation
    Kritisch · 9.9 CVE-2023-29511 >= 1.5M2, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  9. Cross-Site Request Forgery in xwiki-platform
    Hoch · 7.5 CVE-2021-32732 < 12.10.5, >= 13.0, < 13.2RC1 12.10.5, 13.2RC1
  10. Remote code execution in xwiki-platform
    Hoch · 8.8 CVE-2022-23616 >= 3.1-milestone-1, < 13.1RC1 13.1RC1
  11. No CSRF protection on the password change form dieser Eintrag
    Mittel · 5.7 CVE-2021-32730 < 12.10.5, >= 13.0, < 13.2 12.10.5, 13.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.