XWiki vulnerable to a reflected XSS via xredirect parameter in DeleteApplication
Impact
A reflected XSS vulnerability in XWiki allows an attacker to send a victim to a URL with a deletion confirmation message on which the attacker-supplied script is executed when the victim clicks the "No" button. When the victim has admin or programming right, this allows the attacker to execute basically arbitrary actions on the XWiki installation including remote code execution.
Patches
This vulnerability has been patched in XWiki 16.10.10, 17.4.2 and 17.5.0 by using the affected URL parameter only in the intended context.
Workarounds
The patch can be manually applied to the templates that are present in the WAR. A restart of XWiki is needed for the changes to be applied.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.xwiki.platform:xwiki-platform-flamingo-skin-resources | >= 6.2-milestone-1, < 16.10.10, >= 17.0.0-rc-1, < 17.4.2 | 16.10.10, 17.4.2 |
| Java / Kotlin (Maven) | org.xwiki.platform:xwiki-platform-web-templates | >= 6.2-milestone-1, < 16.10.10, >= 17.0.0-rc-1, < 17.4.2 | 16.10.10, 17.4.2 |
Odnośniki
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H- Słabość (CWE)
CWE-79, CWE-80- Platforma
- Java / Kotlin (Maven)
- Paczka
org.xwiki.platform:xwiki-platform-flamingo-skin-resources, org.xwiki.platform:xwiki-platform-web-templates- Ujawniono
- 10.12.2025
- Aktualizacja
- 11.10.2026 12:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-7vpr-jm38-wr7w - CC BY 4.0
Historia podatności: org.xwiki.platform:xwiki-platform-flamingo-skin-resources
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 6
- Pierwsza → ostatnia
- 04.2023 12.2025
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 4
- Wysoka 1
- Średnia 1
Ujawnienia w latach
- 2023: 5
- 2024: 0
- 2025: 1
- 2026: 0
-
XWiki vulnerable to a reflected XSS via xredirect parameter in DeleteApplication ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.