Anmelden
Deutsch English Español Polski
Mittel

XWiki has Reflected Cross-Site Scripting (XSS) in page history compare

  • Veröffentlicht: 14.04.2026
  • Aktualisiert: 11.10.2026 12:22

Impact

A reflected cross-site scripting vulnerability (XSS) in the compare view between revisions of a page allows executing JavaScript code in the user's browser. If the current user is an admin, this can not only affect the current user but also the confidentiality, integrity and availability of the whole XWiki instance.

Patches

The problem has been patched by properly escaping the URL parameters.

Workarounds

The patch can be applied manually to templates/changesdoc.vm in the deployed WAR.

Attribution

XWiki thanks Mike Cole @mikecole-mg for discovering and reporting this vulnerability.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-web-templates >= 10.4-rc-1, < 16.10.16, >= 17.0.0-rc-1, < 17.4.8, >= 17.5.0-rc-1, < 17.10.1 16.10.16, 17.4.8, 17.10.1

Verweise

CVSS-Wert 6.1/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Schwäche (CWE)
CWE-80
Plattform
Java / Kotlin (Maven)
Paket
org.xwiki.platform:xwiki-platform-web-templates
Veröffentlicht
14.04.2026
Aktualisiert
11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-w4fj-87j5-f25c - CC BY 4.0

Schwachstellenhistorie: org.xwiki.platform:xwiki-platform-web-templates

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (23) im Archiv
Einträge insgesamt
23
Erste → letzte
02.2022 04.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 10
  • Hoch 4
  • Mittel 8
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. XWiki has Reflected Cross-Site Scripting (XSS) in page history compare dieser Eintrag
    Mittel · 6.1 CVE-2026-40105 >= 10.4-rc-1, < 16.10.16, >= 17.0.0-rc-1, < 17.4.8, >= 17.5.0-rc-1, < 17.10.1 16.10.16, 17.4.8, 17.10.1
  2. In XWiki Platform, payloads stored in content is executed when a user with script/programming right edit them
    Kritisch · 9.0 CVE-2024-43401 < 15.10-rc-1 15.10-rc-1
  3. XWiki Platform vulnerable to Cross-Site Scripting (XSS) through conflict resolution
    Kritisch · 9.0 CVE-2024-41947 >= 11.8-rc-1, < 15.10.8, >= 16.0.0-rc-1, < 16.3.0-rc-1 15.10.8, 16.3.0-rc-1
  4. XWiki Platform vulnerable to XSS with edit right in the create document form for existing pages
    Kritisch · 9.0 CVE-2023-45137 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  5. XWiki Platform web templates vulnerable to reflected XSS in the create document form if name validation is enabled
    Kritisch · 9.6 CVE-2023-45136 >= 12.0-rc-1, < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  6. XWiki users can be tricked to execute scripts as the create page action doesn't display the page's title
    Kritisch · 9.0 CVE-2023-45135 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  7. XWiki Platform XSS vulnerability from account in the create page form via template provider
    Kritisch · 9.0 CVE-2023-45134 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  8. XWiki Platform vulnerable to reflected cross-site scripting via back and xcontinue parameters in resubmit template
    Kritisch · 9.6 CVE-2023-35160 >= 2.5-milestone-2, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  9. XWiki Platform vulnerable to reflected cross-site scripting via xredirect parameter in deletespace template
    Kritisch · 9.6 CVE-2023-35159 >= 3.4-milestone-1, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  10. XWiki vulnerable to stored cross-site scripting via any wiki document and the displaycontent/rendercontent template
    Kritisch · 9.0 CVE-2023-34464 < 14.4.8, >= 14.5, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.4.8, 14.10.5, 15.1-rc-1
  11. xwiki-platform-web-templates vulnerable to Eval Injection
    Kritisch · 9.9 CVE-2023-29512 >= 1.0B1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  12. Improper Neutralization of Script-Related HTML Tags (XSS) in the LiveTable Macro
    Hoch · 8.9 CVE-2023-29207 >= 1.9-milestone-2, < 13.10.10, >= 14.0-rc-1, < 14.4.6, >= 14.5, < 14.9 13.10.10, 14.4.6, 14.9
  13. XWiki Platform Web Templates vulnerable to Missing Authorization, Exposure of Private Personal Information to Unauthorized Actor
    Hoch · 7.5 CVE-2022-36091 >= 1.3, < 13.10.4 13.10.4
  14. XWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution Wizard
    Hoch · 8.5 CVE-2022-36093 < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
  15. Cross site scripting in registration template in xwiki-platform
    Hoch · 7.4 CVE-2022-23622 >= 2.6.1, < 12.10.11, >= 13.0.0, < 13.4.7, >= 13.10.0, < 13.10.3 12.10.11, 13.4.7, 13.10.3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.