CVE-2025-49584 in xwiki-platform
Riassunto
di VulDB • 16/06/2026
XWiki è una piattaforma wiki generica. Nelle versioni di XWiki Platform dalla 10.9 alla 16.4.6, dalla 16.5.0-rc-1 alla 16.10.2 e nella versione 17.0.0-rc-1, il titolo di ogni singola pagina la cui referenza è nota può essere recuperato tramite l'API REST purché sia accessibile una XClass contenente una proprietà di pagina; questa configurazione rappresenta lo stato predefinito per un'installazione standard di XWiki. Ciò consente a un attaccante di ottenere i titoli delle pagine la cui referenza è nota, un titolo alla volta per ogni richiesta. Questo problema non influisce sui wiki completamente privati poiché l'endpoint REST verifica i diritti di accesso sulla definizione della XClass. L'impatto sulla riservatezza dipende dalla strategia adottata per i nomi delle pagine: in condizioni predefinite, i nomi delle pagine corrispondono ai titoli, quindi l'impatto dovrebbe essere basso; tuttavia, se i nomi delle pagine sono volutamente oscurati perché i titoli sono sensibili, l'impatto potrebbe essere elevato. Il problema è stato risolto nelle versioni XWiki 16.4.7, 16.10.3 e 17.0.0 aggiungendo controlli di accesso prima del recupero del titolo di qualsiasi pagina.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.