Zaloguj się
Deutsch English Español Polski
Średnia

Missing Authorization in User#setDisabledStatus in org.xwiki.platform:xwiki-platform-oldcore

  • Ujawniono: 21.11.2022
  • Aktualizacja: 11.10.2026 11:21

Impact

It's possible for a user with only Script rights to enable or disable a user: this operation should be only doable for users with admin rights.

Patches

This problem has been patched in XWiki 13.10.7, 14.4.2 and 14.5RC1.

Workarounds

There is no workaround other than upgrading the wiki, but note that this only impacts users with Script rights: administrator should take care which users have such right.

References

For more information

If you have any questions or comments about this advisory:

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.xwiki.platform:xwiki-platform-oldcore >= 11.7RC1, < 13.10.7, >= 14.0.0, < 14.4.2 13.10.7, 14.4.2

Odnośniki

Ocena CVSS 4.9/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-862
Platforma
Java / Kotlin (Maven)
Paczka
org.xwiki.platform:xwiki-platform-oldcore
Ujawniono
21.11.2022
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2gj2-vj98-j2qq - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-oldcore

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (46) w archiwum
Wszystkich wpisów
46
Pierwsza → ostatnia
09.2020 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 12
  • Wysoka 17
  • Średnia 15
  • Niska 2

Ujawnienia w latach

Istotność:
  1. XWiki Platform Old Core: Resource path traversal via /skin/ action endpoint in Jetty 12+
    Wysoka CVE-2026-34151 < 17.10.5, >= 18.0.0-rc-1, < 18.2.0 17.10.5, 18.2.0
  2. XWiki vulnerable to remote code execution with script right through unprotected Velocity scripting API
    Wysoka CVE-2026-33229 >= 17.0.0-rc-1, < 17.4.8, >= 17.5.0-rc-1, < 17.10.1 17.4.8, 17.10.1
  3. XWiki exposes passwords and emails stored in fields not named password/email in xml.vm
    Wysoka CVE-2025-54125 >= 1.1, < 16.4.7, >= 16.5.0-rc-1, < 16.10.5, >= 17.0.0-rc-1, < 17.2.0-rc-1 16.4.7, 16.10.5, 17.2.0-rc-1
  4. XWiki leaks password hashes and other accessible password properties
    Wysoka CVE-2025-54124 >= 9.8-rc-1, < 16.4.7, >= 16.5.0-rc-1, < 16.10.5, >= 17.0.0-rc-1, < 17.2.0-rc-1 16.4.7, 16.10.5, 17.2.0-rc-1
  5. XWiki Platform vulnerable to SQL injection through XWiki#searchDocuments API
    Wysoka CVE-2025-54385 >= 1.0, < 16.10.6, >= 17.0.0-rc1, < 17.3.0-rc-1 16.10.6, 17.3.0-rc-1
  6. XWiki allows remote code execution through preview of XClass changes in AWM editor
    Wysoka CVE-2025-49586 >= 7.2-milestone-2, < 16.4.7, >= 16.5.0-rc-1, < 16.10.3, >= 17.0.0-rc-1, < 17.0.0 16.4.7, 16.10.3, 17.0.0
  7. XWiki allows SQL injection in query endpoint of REST API with Oracle
    Krytyczna CVE-2024-56158 >= 1.0, < 15.10.16, >= 16.0.0-rc-1, < 16.4.7, >= 16.5.0-rc-1, < 16.10.2 15.10.16, 16.4.7, 16.10.2
  8. org.xwiki.platform:xwiki-platform-oldcore allows SQL injection in short form select requests through the script query API
    Wysoka CVE-2025-32968 >= 1.6-milestone-1, < 15.10.16, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.1 15.10.16, 16.4.6, 16.10.1
  9. XWiki Platform allows XSS through XClass name in string properties
    Krytyczna · 9.0 CVE-2024-43400 >= 1.1.2, < 14.10.21, >= 15.0-rc-1, < 15.5.5, >= 15.6-rc-1, < 15.10.6, >= 16.0.0-rc-1, < 16.0.0 14.10.21, 15.5.5, 15.10.6, 16.0.0
  10. XWiki Platform allows remote code execution from user account
    Krytyczna · 9.0 CVE-2024-37899 >= 13.4.7, < 14.10.21, >= 13.10.3, < 14.10.21, >= 15.0-rc-1, < 15.5.5, >= 15.6-rc-1, < 15.10.6, >= 16.0.0-rc-1, < 16.0.0 14.10.21, 15.5.5, 15.10.6, 16.0.0
  11. XWiki Platform remote code execution from account via custom skins support
    Krytyczna · 9.9 CVE-2024-31987 >= 6.4-milestone-1, < 14.10.19, >= 15.0-rc-1, < 15.5.4, >= 15.6-rc-1, < 15.10-rc-1 14.10.19, 15.5.4, 15.10-rc-1
  12. XWiki Platform: Privilege escalation (PR) from user registration through PDFClass
    Krytyczna · 9.9 CVE-2024-31981 >= 3.0.1, < 14.10.20, >= 15.0-rc-1, < 15.5.4, >= 15.6-rc-1, < 15.10-rc-1 14.10.20, 15.5.4, 15.10-rc-1
  13. XWiki has no right protection on rollback action
    Wysoka · 8.0 CVE-2024-21648 >= 1.0, < 14.10.17 14.10.17
  14. XWiki Platform vulnerable to privilege escalation and remote code execution via the edit action
    Wysoka · 8.8 CVE-2023-46243 >= 15.0, < 15.2-rc-1, >= 1.0, < 14.10.6 15.2-rc-1, 14.10.6
  15. XWiki Platform vulnerable to remote code execution via the edit action because it lacks CSRF token
    Krytyczna · 9.6 CVE-2023-46242 >= 1.0, < 14.10.7, >= 15.0, < 15.2-rc-1 14.10.7, 15.2-rc-1
  16. XWiki Platform vulnerable to CSRF privilege escalation/RCE via the create action
    Wysoka · 8.0 CVE-2023-40572 >= 3.2-milestone-3, < 14.10.9, >= 15.0-rc-1, < 15.4-rc-1 14.10.9, 15.4-rc-1
  17. Upgrading doesn't prevent exploiting vulnerable XWiki documents
    Krytyczna · 9.9 CVE-2023-36468 >= 2.0, < 14.10.7, >= 15.0-rc-1, < 15.2-rc-1 14.10.7, 15.2-rc-1
  18. XWiki Platform vulnerable to reflected cross-site scripting via delattachment action
    Wysoka · 8.4 CVE-2023-35157 >= 3.2-milestone-3, < 14.10.6, >= 15.0-rc-0, < 15.1-rc-1 14.10.6, 15.1-rc-1
  19. XWiki Platform's async and display macro allow displaying and interacting with any document in restricted mode
    Krytyczna · 9.9 CVE-2023-29526 >= 10.11.1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.3 13.10.11, 14.4.8, 14.10.3
  20. XWiki Platform vulnerable to code injection in display method used in user profiles
    Krytyczna · 9.9 CVE-2023-29523 >= 3.3-milestone-1, < 13.10.11, >= 14.0-rc-1, < 14.4.8, >= 14.5, < 14.10.2 13.10.11, 14.4.8, 14.10.2
  21. org.xwiki.platform:xwiki-platform-oldcore makes Incorrect Use of Privileged APIs with DocumentAuthors
    Krytyczna · 9.1 CVE-2023-29507 >= 14.5, < 14.10, >= 14.4.1, < 14.4.7 14.10, 14.4.7
  22. org.xwiki.platform:xwiki-platform-oldcore vulnerable to data leak through deleted documents
    Wysoka · 7.5 CVE-2023-29208 >= 1.2-milestone-1, < 13.10.11, >= 14.0-rc-1, < 14.4.7, >= 14.5, < 14.10 13.10.11, 14.4.7, 14.10
  23. XWiki Platform vulnerable to privilege escalation via properties with wiki syntax that are executed with wrong author
    Krytyczna · 9.9 CVE-2023-26474 >= 13.10, < 13.10.11, >= 14.0, < 14.4.7, >= 14.5, < 14.10 13.10.11, 14.4.7, 14.10
  24. Creation of new database tables through login form on PostgreSQL
    Wysoka · 7.5 CVE-2022-41932 < 13.10.8, >= 14.0.0, < 14.4.2, >= 14.5.0, < 14.6-rc-1 13.10.8, 14.4.2, 14.6-rc-1
  25. Missing Authorization in User#setDisabledStatus in org.xwiki.platform:xwiki-platform-oldcore ten wpis
    Średnia · 4.9 CVE-2022-41929 >= 11.7RC1, < 13.10.7, >= 14.0.0, < 14.4.2 13.10.7, 14.4.2
  26. XWiki.WebHome vulnerable to Improper Privilege Management in XWiki resolving groups
    Wysoka · 8.1 CVE-2022-31166 >= 11.3.7, < 13.10.4, >= 14.0-rc-1, < 14.2-rc-1 13.10.4, 14.2-rc-1
  27. XWiki Platform Improper Authorization check for inactive users
    Wysoka · 8.1 CVE-2022-36090 >= 1.1, < 13.10.5, >= 14.0, < 14.3-rc-1 13.10.5, 14.3-rc-1
  28. XWiki Platform Old Core vulnerable to Authentication Bypass Using the Login Action
    Wysoka · 7.5 CVE-2022-36092 < 13.10.4, >= 14.0, < 14.2 13.10.4, 14.2
  29. XSS Cross Site Scripting
    Krytyczna · 9.6 CVE-2021-29459 < 12.6.3, >= 12.6.4, < 12.8 12.6.3, 12.8
  30. RCE in XWiki
    Wysoka · 8.5 CVE-2020-15252 < 11.10.6, >= 12.0, < 12.5 11.10.6, 12.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.