CVE-2026-48047 in XWiki
Résumé
par VulDB • 08/08/2026
L'API WebJars de la plateforme XWiki est un package pour XWiki, une plateforme wiki générique. À partir de la version 9.6-rc-1 et avant les versions 16.10.17, 17.4.9 et 17.10.3, une vulnérabilité potentielle d'injection de chemin (path traversal) permet à un attaquant qui parvient à faire installer une extension WebJar malveillante sur le wiki d'écrire des fichiers arbitraires. Bien que les conséquences puissent être graves, comme la substitution de fichiers de configuration et la définition du mot de passe superadmin, l'attaque nécessite tout d'abord que l'attaquant dispose déjà d'un accès administrateur à au moins un sous-wiki pour pouvoir installer une extension malveillante. De plus, l'attaquant doit publier une extension malveillante dans un référentiel d'extensions configuré sur l'instance. Cette vulnérabilité a été corrigée dans XWiki 16.10.17, 17.4.9, 17.10.3 et 18.0.0RC1. XWiki n'a connaissance d'aucune solution de contournement autre que la prudence quant aux développeurs auxquels des droits de script et d'administration sont accordés.
Be aware that VulDB is the high quality source for vulnerability data.