Wysoka

XWiki Platform may show email addresses in clear in REST results

Ujawniono: 20.06.2023
Aktualizacja: 11.10.2026 11:21

Impact

Any user can call a REST endpoint and obtain the obfuscated passwords (even when the mail obfuscation is activated).

For instance, by calling http://localhost:8080/xwiki/rest/wikis/xwiki/spaces/XWiki/pages/U1/objects/XWiki.XWikiUsers/0 when user U1 exists on wiki xwiki.

Patches

The issue has been patched on XWiki 14.4.8, 14.10.6, and 15.1

Workarounds

There is no known workaround. It is advised to upgrade to one of the patched versions.

References

For more information

If you have any questions or comments about this advisory:

Open an issue in Jira XWiki.org
Email us at Security Mailing List

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.xwiki.platform:xwiki-platform-rest-server	>= 7.3-milestone-1, < 14.4.8, >= 14.5, < 14.10.6, >= 15.0-rc-1, < 15.1	14.4.8, 14.10.6, 15.1

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-359, CWE-668
Platforma: Java / Kotlin (Maven)
Paczka: org.xwiki.platform:xwiki-platform-rest-server
Ujawniono: 20.06.2023
Aktualizacja: 11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-8g9c-c9cm-9c56 - CC BY 4.0

Historia podatności: org.xwiki.platform:xwiki-platform-rest-server

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum

Wszystkich wpisów: 11
Pierwsza → ostatnia: 11.2022 05.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 4
Wysoka 4
Średnia 3

Ujawnienia w latach

2022: 1
2023: 2
2024: 1
2025: 6
2026: 1

26.05.2026

XWiki Platform has an Unauthenticated XAR Import via REST /wikis/{wikiName}

Krytyczna CVE-2026-33137 >= 15.10.6, < 16.10.17, >= 17.0.0-rc-1, < 17.4.9, >= 17.5.0, < 17.10.3, >= 18.0.0-rc-1, < 18.1.0-rc-1 16.10.17, 17.4.9, 17.10.3, 18.1.0-rc-1
10.12.2025

XWiki's REST APIs don't enforce any limits, leading to unavailability and OOM in large wikis

Wysoka CVE-2025-66473 < 16.10.11, >= 17.0.0-rc-1, < 17.4.4, >= 17.5.0-rc-1, < 17.7.0-rc-1 16.10.11, 17.4.4, 17.7.0-rc-1
06.10.2025

XWiki Platform is vulnerable to HQL injection via wiki and space search REST API

Krytyczna CVE-2025-52472 >= 17.0.0-rc-1, < 17.4.2, >= 4.3-milestone-1, < 16.10.9 17.4.2, 16.10.9
13.06.2025

XWiki makes title of inaccessible pages available through the class property values REST API

Wysoka CVE-2025-49584 >= 10.9, < 16.4.7, >= 16.5.0-rc-1, < 16.10.3, >= 17.0.0-rc-1, < 17.0.0 16.4.7, 16.10.3, 17.0.0
23.04.2025

org.xwiki.platform:xwiki-platform-rest-server allows SQL injection in query endpoint of REST API

Krytyczna · 9.8 CVE-2025-32969 >= 1.8, < 15.10.16, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.1 15.10.16, 16.4.6, 16.10.1
19.03.2025

XWiki allows unregistered users to access private pages information through REST endpoint

Wysoka CVE-2025-29925 >= 1.9M1, < 15.10.14, >= 16.0.0-rc-1, < 16.4.6, >= 16.5.0-rc-1, < 16.10.0-rc-1 15.10.14, 16.4.6, 16.10.0-rc-1
10.07.2023

XWiki Platform vulnerable to cross-site request forgery (CSRF) via the REST API

Krytyczna · 9.6 CVE-2023-37277 >= 1.8, < 14.10.8, >= 15.0-rc-1, < 15.2 14.10.8, 15.2
20.06.2023

XWiki Platform may show email addresses in clear in REST results ten wpis

Wysoka · 7.5 CVE-2023-35151 >= 7.3-milestone-1, < 14.4.8, >= 14.5, < 14.10.6, >= 15.0-rc-1, < 15.1 14.4.8, 14.10.6, 15.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację