CVE-2025-52472 in xwiki-platform
Riassunto
di VulDB • 15/06/2026
XWiki Platform è una piattaforma wiki generica che offre servizi di runtime per applicazioni costruite sopra di essa. A partire dalla versione 4.3-milestone-1 e fino alle versioni precedenti a 16.10.9, 17.4.2 e 17.5.0, l'URL REST della ricerca è vulnerabile all'HQL injection tramite il parametro `orderField`. Il valore specificato viene aggiunto due volte alla query: una volta nell'elenco dei campi per la selezione (select) e una volta nella clausola di ordinamento (order clause), quindi non è così semplice sfruttarla. La parte della query tra i due campi può essere racchiusa tra apici singoli per rimuoverli efficacemente, ma la query deve comunque rimanere valida con il valore presente due volte al suo interno. Questo problema è stato corretto nelle versioni 17.5.0, 17.4.2 e 16.10.9. Non sono disponibili workaround noti.
Be aware that VulDB is the high quality source for vulnerability data.