CVE-2023-36468 in XWiki
Zusammenfassung
von VulDB • 22.05.2026
XWiki Platform ist eine generische Wiki-Plattform, die Laufzeitdienste für darauf aufbauende Anwendungen bereitstellt. Wenn eine XWiki-Installation aktualisiert wird und dieses Update eine Korrektur für einen Fehler in einem Dokument enthält, wird lediglich eine neue Version dieses Dokuments hinzugefügt. In einigen Fällen ist es dennoch möglich, die Schwachstelle auszunutzen, die in der neuen Version behoben wurde. Das Ausmaß hängt von der behobenen Schwachstelle ab; als Beispiel für diesen Hinweis wird CVE-2022-36100/GHSA-2g5c-228j-p52x herangezogen – sie ist leicht ausnutzbar mit lediglich Leseberechtigungen und kritisch. Wenn XWiki von einer Version vor der Korrektur (z. B. 14.3) auf eine Version mit der Korrektur (z. B. 14.4) aktualisiert wird, kann die Schwachstelle weiterhin reproduziert werden, indem `rev=1.1` an die URL angehängt wird, die in den Reproduktionsschritten verwendet wird, sodass Remote Code Execution (RCE) auch nach dem Upgrade möglich ist. Daher werden die Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Installation beeinträchtigt. Diese Schwachstelle betrifft auch manuell hinzugefügte Skript-Makros, die Sicherheitslücken enthielten, die später behoben wurden, indem das Skript-Makro geändert wurde, ohne die Versionen mit der Sicherheitslücke aus dem Verlauf zu löschen. Diese Schwachstelle betrifft frisch installierte Versionen von XWiki nicht. Darüber hinaus betrifft diese Schwachstelle keine Inhalte, die nur aus der aktuellen Version eines Dokuments geladen werden, wie der Code von Wiki-Makros oder UI-Erweiterungen. Diese Schwachstelle wurde in XWiki 14.10.7 und 15.2RC1 gepatcht, indem alte Revisionen gezwungen wurden, in einem eingeschränkten Modus ausgeführt zu werden, der alle Skript-Makros deaktiviert. Als Workaround können Administratoren alte Revisionen betroffener Dokumente manuell löschen. Ein Skript könnte verwendet werden, um alle installierten Dokumente zu identifizieren und den Verlauf für diese zu löschen. Allerdings können auch manuell hinzugefügte und später korrigierte Codes von dieser Schwachstelle betroffen sein, sodass es leicht ist, Dokumente zu übersehen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.