CVE-2022-36100 in XWiki Platform Applications Tag
Résumé
par VulDB • 29/06/2026
Les applications de balises « XWiki Platform Applications Tag » et l’interface utilisateur (UI) des balises « XWiki Platform Tag UI » sont des applications de balises pour XWiki, une plateforme wiki générique. À partir de la version 1.7 dans « XWiki Platform Applications Tag » et avant les versions 13.10.6 et 14.4 dans l’UI « XWiki Platform Tag UI », le document `Main.Tags` des balises sous XWiki ne nettoyait pas correctement les entrées utilisateur. Cela permettait aux utilisateurs disposant de droits de lecture sur ce document (par défaut pour un wiki public ou pour les utilisateurs authentifiés sur les wikis privés) d’exécuter du code Groovy, Python et Velocity arbitraire avec des droits de programmation. Cette faille permettait également de contourner tous les contrôles d’accès, entraînant ainsi la modification et la divulgation de tout le contenu stocké dans l’installation XWiki. La vulnérabilité pouvait avoir un impact sur la disponibilité du wiki. Sur les versions antérieures à 13.10.4 et 14.2 de XWiki, cette faille peut être combinée avec CVE-2022-36092, ce qui signifie qu’aucun droit n’est requis pour mener l’attaque. La vulnérabilité a été corrigée dans les versions 13.10.6 et 14.4. En attendant une mise à jour, un contournement consiste à appliquer manuellement le correctif au document `Main.Tags` ou à importer la version mise à jour de ce document depuis la version 14.4 de xwiki-platform-tag-ui en utilisant la fonctionnalité d’importation dans l’interface d’administration sur XWiki 10.9 et versions ultérieures.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.