Zaloguj się
Deutsch English Español Polski
Średnia

Unauthenticated user can retrieve the list of users through uorgsuggest.vm

  • Ujawniono: 08.04.2022
  • Aktualizacja: 11.10.2026 11:21

A guest user without the right to view pages of the wiki can still list documents related to users of the wiki. The problem has been patched in XWiki versions 12.10.11, 13.4.4, and 13.9-rc-1. There is no known workaround for this problem.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-web-templates < 12.10.11, >= 13.0.0, < 13.4.4, >= 13.5.0, < 13.9 12.10.11, 13.4.4, 13.9

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-359
Platforma
Java / Kotlin (Maven)
Paczka
org.xwiki.platform:xwiki-platform-web-templates
Ujawniono
08.04.2022
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-97jg-43c9-q6pf - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-web-templates

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (23) w archiwum
Wszystkich wpisów
23
Pierwsza → ostatnia
02.2022 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 10
  • Wysoka 4
  • Średnia 8
  • Niska 1

Ujawnienia w latach

Istotność:
  1. In XWiki Platform, payloads stored in content is executed when a user with script/programming right edit them
    Krytyczna · 9.0 CVE-2024-43401 < 15.10-rc-1 15.10-rc-1
  2. XWiki Platform vulnerable to Cross-Site Scripting (XSS) through conflict resolution
    Krytyczna · 9.0 CVE-2024-41947 >= 11.8-rc-1, < 15.10.8, >= 16.0.0-rc-1, < 16.3.0-rc-1 15.10.8, 16.3.0-rc-1
  3. XWiki Platform vulnerable to XSS with edit right in the create document form for existing pages
    Krytyczna · 9.0 CVE-2023-45137 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  4. XWiki Platform web templates vulnerable to reflected XSS in the create document form if name validation is enabled
    Krytyczna · 9.6 CVE-2023-45136 >= 12.0-rc-1, < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  5. XWiki users can be tricked to execute scripts as the create page action doesn't display the page's title
    Krytyczna · 9.0 CVE-2023-45135 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  6. XWiki Platform XSS vulnerability from account in the create page form via template provider
    Krytyczna · 9.0 CVE-2023-45134 < 14.10.12, >= 15.0-rc-1, < 15.5-rc-1 14.10.12, 15.5-rc-1
  7. XWiki Platform vulnerable to reflected cross-site scripting via back and xcontinue parameters in resubmit template
    Krytyczna · 9.6 CVE-2023-35160 >= 2.5-milestone-2, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  8. XWiki Platform vulnerable to reflected cross-site scripting via xredirect parameter in deletespace template
    Krytyczna · 9.6 CVE-2023-35159 >= 3.4-milestone-1, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.10.5, 15.1-rc-1
  9. XWiki vulnerable to stored cross-site scripting via any wiki document and the displaycontent/rendercontent template
    Krytyczna · 9.0 CVE-2023-34464 < 14.4.8, >= 14.5, < 14.10.5, >= 15.0-rc-1, < 15.1-rc-1 14.4.8, 14.10.5, 15.1-rc-1
  10. xwiki-platform-web-templates vulnerable to Eval Injection
    Krytyczna · 9.9 CVE-2023-29512 >= 1.0B1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.1 13.10.11, 14.4.8, 14.10.1
  11. Improper Neutralization of Script-Related HTML Tags (XSS) in the LiveTable Macro
    Wysoka · 8.9 CVE-2023-29207 >= 1.9-milestone-2, < 13.10.10, >= 14.0-rc-1, < 14.4.6, >= 14.5, < 14.9 13.10.10, 14.4.6, 14.9
  12. XWiki Platform Web Templates vulnerable to Missing Authorization, Exposure of Private Personal Information to Unauthorized Actor
    Wysoka · 7.5 CVE-2022-36091 >= 1.3, < 13.10.4 13.10.4
  13. XWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution Wizard
    Wysoka · 8.5 CVE-2022-36093 < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
  14. Unauthenticated user can retrieve the list of users through uorgsuggest.vm ten wpis
    Średnia · 5.3 CVE-2022-24819 < 12.10.11, >= 13.0.0, < 13.4.4, >= 13.5.0, < 13.9 12.10.11, 13.4.4, 13.9
  15. Cross site scripting in registration template in xwiki-platform
    Wysoka · 7.4 CVE-2022-23622 >= 2.6.1, < 12.10.11, >= 13.0.0, < 13.4.7, >= 13.10.0, < 13.10.3 12.10.11, 13.4.7, 13.10.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.