Średnia

Unauthenticated user can list hidden document from multiple velocity templates in XWiki

Ujawniono: 08.04.2022
Aktualizacja: 11.10.2026 11:21

Impact

A guest user without the right to view pages of the wiki can still list documents by rendering some velocity documents.

Patches

The problem has been patched in XWiki versions 12.10.11, 13.4.4, and 13.9-rc-1.

Workarounds

There is no known workaround for this problem.

References

https://jira.xwiki.org/browse/XWIKI-16544

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira XWiki
Email us at our security mailing list

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-web	< 12.10.11, >= 13.0.0, < 13.4.4, >= 13.5.0, < 13.9	12.10.11, 13.4.4, 13.9

Odnośniki

Ocena CVSS 5.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE): CWE-200, CWE-306, CWE-359
Platforma: Java / Kotlin (Maven)
Paczka: org.xwiki.platform:xwiki-platform-web
Ujawniono: 08.04.2022
Aktualizacja: 11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-qpp2-2mcp-2wm5 - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-web

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (15) w archiwum

Wszystkich wpisów: 15
Pierwsza → ostatnia: 04.2021 02.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 5
Wysoka 5
Średnia 5

Ujawnienia w latach

2021: 2
2022: 6
2023: 6
2024: 0
2025: 0
2026: 1

25.10.2023

XWiki Platform vulnerable to XSS with edit right in the create document form for existing pages

Krytyczna · 9.0 CVE-2023-45137 >= 3.1-milestone-2, < 13.4-rc-1 13.4-rc-1
25.10.2023

XWiki users can be tricked to execute scripts as the create page action doesn't display the page's title

Krytyczna · 9.0 CVE-2023-45135 >= 7.2-milestone-2, < 14.10.12 14.10.12
25.10.2023

XWiki Platform XSS vulnerability from account in the create page form via template provider

Krytyczna · 9.0 CVE-2023-45134 >= 3.1-milestone-1, < 13.4-rc-1 13.4-rc-1
20.06.2023

XWiki vulnerable to stored cross-site scripting via any wiki document and the displaycontent/rendercontent template

Krytyczna · 9.0 CVE-2023-34464 >= 2.2.1, < 14.4.8 14.4.8
12.04.2023

Improper Neutralization of Script-Related HTML Tags (XSS) in the LiveTable Macro

Wysoka · 8.9 CVE-2023-29207 >= 1.9-milestone-2, < 13.10.10, >= 14.0-rc-1, < 14.4.6, >= 14.5, < 14.9 13.10.10, 14.4.6, 14.9
16.09.2022

XWiki Platform Web Templates vulnerable to Missing Authorization, Exposure of Private Personal Information to Unauthorized Actor

Wysoka · 7.5 CVE-2022-36091 >= 14.0, < 14.2 14.2
16.09.2022

XWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution Wizard

Wysoka · 8.5 CVE-2022-36093 >= 8.0-rc-1, < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
16.09.2022

XWiki Platform Web Parent POM vulnerable to XSS in the attachment history

Wysoka · 8.9 CVE-2022-36094 >= 1.0, < 13.10.6, >= 14.0, < 14.3-rc-1 13.10.6, 14.3-rc-1
08.04.2022

Unauthenticated user can list hidden document from multiple velocity templates in XWiki ten wpis

Średnia · 5.3 CVE-2022-24820 < 12.10.11, >= 13.0.0, < 13.4.4, >= 13.5.0, < 13.9 12.10.11, 13.4.4, 13.9
09.02.2022

Improper escaping in XWiki Platform

Wysoka · 7.5 CVE-2020-13654 < 12.8 12.8
22.04.2021

XSS Cross Site Scripting

Krytyczna · 9.6 CVE-2021-29459 < 12.6.3, >= 12.6.4, < 12.8 12.6.3, 12.8

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację