CVE-2022-36100 in XWiki Platform Applications Tag
要約
〜によって VulDB • 2026年08月16日
XWiki Platform Applications TagおよびXWiki Platform Tag UIは、汎用ウィキプラットフォームであるXWiki用のタグアプリケーションです。XWiki Platform Applications Tagではバージョン1.7以降で、XWiki Platform Tag UIでは13.10.6より前でかつ14.4より前のバージョンにおいて、XWiki内の`Main.Tags`ドキュメントがユーザー入力を適切にサニタイズしていませんでした。これにより、そのドキュメントに対する閲覧権限を持つユーザー（公開ウィキでのデフォルト設定や、プライベートウィキにおける認証済みユーザー）は、プログラミング権限を使用して任意のGroovy、Python、およびVelocityコードを実行できました。さらに、すべての権限チェックを回避することが可能となり、XWikiインストール内に保存されているすべてのコンテンツの変更と開示が可能になりました。この脆弱性はウィキの利用可能性に影響を与えるために使用できます。XWikiバージョン13.10.4より前でかつ14.2より前の環境では、これはCVE-2022-36092と組み合わせることができ、攻撃を実行するために権限は不要となります。この脆弱性はバージョン13.10.6および14.4で修正されています。回避策として、問題を修正するパッチを`Main.Tags`ドキュメントに手動で適用するか、XWiki 10.9以降の管理UIにあるインポート機能を使用して、xwiki-platform-tag-uiのバージョン14.4からそのドキュメントの更新版をインポートすることができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.