CVE-2023-36470 in XWiki
Zusammenfassung
von VulDB • 13.06.2026
XWiki Platform ist eine generische Wiki-Plattform, die Laufzeitdienste für darauf aufbauende Anwendungen bereitstellt. Durch das Erstellen eines neuen oder Bearbeiten eines vorhandenen Dokuments mit einem Icon-Set kann ein Angreifer XWiki-Syntax und Velocity-Code injizieren, der mit Programmierrechten ausgeführt wird und somit Remote Code Execution (RCE) ermöglicht. Es gibt verschiedene Angriffsvektoren; der einfachste ist die Verwendung von Velocity-Code in der HTML- oder XWiki-Syntax-Definition des Icon-Sets. Der [Icon-Picker](https://extensions.xwiki.org/xwiki/bin/view/Extension/Icon%20Theme%20Application#HIconPicker) kann verwendet werden, um das Rendern eines beliebigen Icon-Themes auszulösen. Die XWiki-Syntax-Variante des Icon-Set wird auch ohne jegliche Escaping in einigen Dokumenten verwendet, was die Injektion von XWiki-Syntax einschließlich Script-Makros in ein Dokument ermöglicht, das über Programmierrechte verfügt; hierfür muss das aktuell verwendete Icon-Thema bearbeitet werden. Darüber hinaus wird der HTML-Ausgabewert des Icon-Set als JSON im Icon-Picker ausgegeben und dieses JSON wird als XWiki-Syntax interpretiert, was erneut die Injektion von Script-Makros in ein Dokument mit Programmierrechten ermöglicht und somit Remote Code Execution erlaubt. Dies beeinträchtigt die Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Instanz. Dieses Problem wurde in XWiki 14.10.6 und 15.1 gepatcht. Icon-Themen erfordern nun Script-Rechte, und der Code im Icon-Thema wird innerhalb des Kontexts des Icon-Themas ausgeführt, wodurch eine Rechteescalation verhindert wird. Ein Makro zum Anzeigen von Icons wurde eingeführt, um die Injektion der rohen Wiki-Syntax eines Icon-Set in ein anderes Dokument zu vermeiden. Benutzern wird empfohlen, das Upgrade durchzuführen. Es sind keine bekannten Workarounds für diese Schwachstelle bekannt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.