Anmelden
Deutsch English Español Polski
Mittel

XWiki Affected by Reflected Cross-Site Scripting (XSS) in Error Messages

  • Veröffentlicht: 23.01.2026
  • Aktualisiert: 11.10.2026 12:22

Impact

A reflected cross site scripting (XSS) vulnerability in XWiki allows an attacker to execute arbitrary actions in XWiki with the rights of the victim if the attacker manages to trick a victim into visiting a crafted URL. If the victim has administrative or programming rights, those rights can be exploited to gain full access to the XWiki installation.

Patches

This vulnerability has been patched in XWiki 17.8.0RC1, 17.4.5 and 16.10.12.

Workarounds

The patch can be applied manually, only a single line in templates/logging_macros.vm needs to be changed, no restart is required.

References

Attribution

We thank Mike Cole @mikecole-mg for discovering and reporting this vulnerability.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-web-templates >= 7.0-milestone-2, < 16.10.12, >= 17.0.0-rc-1, < 17.4.5, >= 17.5.0-rc-1, < 17.8.0-rc-1 16.10.12, 17.4.5, 17.8.0-rc-1

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H
Schwäche (CWE)
CWE-79, CWE-80
Plattform
Java / Kotlin (Maven)
Paket
org.xwiki.platform:xwiki-platform-web-templates
Veröffentlicht
23.01.2026
Aktualisiert
11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-wvqx-m5px-6cmp - CC BY 4.0

Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-web-templates

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (23) im Archiv
Einträge insgesamt
23
Erste → letzte
02.2022 04.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 10
  • Hoch 4
  • Mittel 8
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. XWiki Affected by Reflected Cross-Site Scripting (XSS) in Error Messages dieser Eintrag
    Mittel CVE-2026-24128 >= 7.0-milestone-2, < 16.10.12, >= 17.0.0-rc-1, < 17.4.5, >= 17.5.0-rc-1, < 17.8.0-rc-1 16.10.12, 17.4.5, 17.8.0-rc-1
  2. In XWiki Platform, payloads stored in content is executed when a user with script/programming right edit them
    Kritisch · 9.0 CVE-2024-43401 < 15.10-rc-1 15.10-rc-1
  3. XWiki Platform vulnerable to Cross-Site Scripting (XSS) through conflict resolution
    Kritisch · 9.0 CVE-2024-41947 >= 11.8-rc-1, < 15.10.8, >= 16.0.0-rc-1, < 16.3.0-rc-1 15.10.8, 16.3.0-rc-1
  4. XWiki Platform vulnerable to XSS with edit right in the create document form for existing pages
    Kritisch · 9.0 CVE-2023-45137 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  5. XWiki Platform web templates vulnerable to reflected XSS in the create document form if name validation is enabled
    Kritisch · 9.6 CVE-2023-45136 >= 12.0-rc-1, < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  6. XWiki users can be tricked to execute scripts as the create page action doesn't display the page's title
    Kritisch · 9.0 CVE-2023-45135 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  7. XWiki Platform XSS vulnerability from account in the create page form via template provider
    Kritisch · 9.0 CVE-2023-45134 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  8. XWiki Platform vulnerable to reflected cross-site scripting via back and xcontinue parameters in resubmit template
    Kritisch · 9.6 CVE-2023-35160 >= 2.5-milestone-2, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  9. XWiki Platform vulnerable to reflected cross-site scripting via xredirect parameter in deletespace template
    Kritisch · 9.6 CVE-2023-35159 >= 3.4-milestone-1, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  10. XWiki vulnerable to stored cross-site scripting via any wiki document and the displaycontent/rendercontent template
    Kritisch · 9.0 CVE-2023-34464 < 14.4.8, >= 14.5, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.4.8, 14.10.5, 15.1-rc-1
  11. xwiki-platform-web-templates vulnerable to Eval Injection
    Kritisch · 9.9 CVE-2023-29512 >= 1.0B1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  12. Improper Neutralization of Script-Related HTML Tags (XSS) in the LiveTable Macro
    Hoch · 8.9 CVE-2023-29207 >= 1.9-milestone-2, < 13.10.10, >= 14.0-rc-1, < 14.4.6, >= 14.5, < 14.9 13.10.10, 14.4.6, 14.9
  13. XWiki Platform Web Templates vulnerable to Missing Authorization, Exposure of Private Personal Information to Unauthorized Actor
    Hoch · 7.5 CVE-2022-36091 >= 1.3, < 13.10.4 13.10.4
  14. XWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution Wizard
    Hoch · 8.5 CVE-2022-36093 < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
  15. Cross site scripting in registration template in xwiki-platform
    Hoch · 7.4 CVE-2022-23622 >= 2.6.1, < 12.10.11, >= 13.0.0, < 13.4.7, >= 13.10.0, < 13.10.3 12.10.11, 13.4.7, 13.10.3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.