CVE-2022-36100 in XWiki Platform Applications Tag
Resumen
por VulDB • 2026-05-15
Las aplicaciones de etiquetas XWiki Platform Applications Tag y XWiki Platform Tag UI son aplicaciones de etiquetas para XWiki, una plataforma wiki genérica. A partir de la versión 1.7 en XWiki Platform Applications Tag y antes de las versiones 13.10.6 y 14.4 en XWiki Platform Tag UI, el documento de etiquetas `Main.Tags` en XWiki no sanitizaba adecuadamente las entradas del usuario. Esto permitía a los usuarios con derechos de visualización sobre el documento (predeterminado en una wiki pública o para usuarios autenticados en wikis privadas) ejecutar código Groovy, Python y Velocity arbitrario con derechos de programación. Esto también permitía eludir todas las comprobaciones de derechos y, por tanto, la modificación y divulgación de todo el contenido almacenado en la instalación de XWiki. La vulnerabilidad podría utilizarse para afectar la disponibilidad de la wiki. En versiones de XWiki anteriores a 13.10.4 y 14.2, esto puede combinarse con CVE-2022-36092, lo que significa que no se requieren derechos para realizar el ataque. La vulnerabilidad ha sido corregida en las versiones 13.10.6 y 14.4. Como solución alternativa, el parche que soluciona el problema se puede aplicar manualmente al documento `Main.Tags` o la versión actualizada de dicho documento se puede importar desde la versión 14.4 de xwiki-platform-tag-ui utilizando la función de importación en la interfaz de administración de XWiki 10.9 y versiones posteriores.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.