XWiki Platform users may execute anything with superadmin right through comments and async macro
Impact
Comments are supposed to be executed with the right of superadmin but in restricted mode (anything dangerous is disabled) but the async macro is not taking into account the restricted mode.
This means that any user with comment right can use the async macro to make it execute any wiki content with the right of superadmin as in:
{{async}} {{groovy}}println "it works !"{{/groovy}} {{/async}}
Patches
This has been patched in XWiki 14.9, 14.4.6, and 13.10.10.
Workarounds
The only known workaround consists in applying the following patch and rebuilding and redeploying org.xwiki.platform:xwiki-platform-rendering-async-macro.
References
For more information
If you have any questions or comments about this advisory:
- Open an issue in Jira
- Email us at Security ML
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.xwiki.platform:xwiki-platform-rendering-async-macro | >= 11.6-rc-1, < 13.10.10, >= 14.0, < 14.4.6, >= 14.5, < 14.9 | 13.10.10, 14.4.6, 14.9 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H- Słabość (CWE)
CWE-284- Platforma
- Java / Kotlin (Maven)
- Paczka
org.xwiki.platform:xwiki-platform-rendering-async-macro- Ujawniono
- 03.03.2023
- Aktualizacja
- 11.10.2026 11:21
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-9cqm-5wf7-wcj7 - CC BY 4.0
Historia podatności: org.xwiki.platform:xwiki-platform-rendering-async-macro
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 03.2023 04.2023
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
Ujawnienia w latach
- 2023: 2
- 2024: 0
- 2025: 0
- 2026: 0
-
XWiki Platform users may execute anything with superadmin right through comments and async macro ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.