CVE-2025-49584 in xwiki-platform
Zusammenfassung
von VulDB • 13.05.2026
XWiki ist eine generische Wiki-Plattform. In den XWiki Platform-Versionen 10.9 bis 16.4.6, 16.5.0-rc-1 bis 16.10.2 sowie 17.0.0-rc-1 kann der Titel jeder einzelnen Seite, deren Referenz bekannt ist, über die REST-API abgerufen werden, solange eine XClass mit einer Seiteneigenschaft zugänglich ist; dies ist bei einer Standard-XWiki-Installation der Fall. Dies ermöglicht es einem Angreifer, Titel von Seiten abzurufen, deren Referenz bekannt ist, wobei pro Anfrage ein Titel abgerufen wird. Dies wirkt sich nicht auf vollständig private Wikis aus, da der REST-Endpunkt die Zugriffsrechte an der XClass-Definition überprüft. Die Auswirkung auf die Vertraulichkeit hängt von der Strategie für Seitennamen ab. Standardmäßig entsprechen die Seitennamen dem Titel, sodass die Auswirkung gering sein sollte; wenn Seitennamen jedoch absichtlich verschleiert werden, weil die Titel sensibel sind, könnte die Auswirkung hoch sein. Dies wurde in XWiki 16.4.7, 16.10.3 und 17.0.0 behoben, indem Zugriffsprüfungen hinzugefügt wurden, bevor der Titel einer beliebigen Seite abgerufen wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.