CVE-2022-36100 in XWiki Platform Applications Tag
Сводка
по VulDB • 06.08.2026
Приложения тегов для платформы XWiki (XWiki Platform Applications Tag) и пользовательский интерфейс приложений тегов для платформы XWiki (XWiki Platform Tag UI) являются приложениями-тегами для XWiki, универсальной википлатформы. Начиная с версии 1.7 в приложении XWiki Platform Applications Tag и до версий 13.10.6 и 14.4 включительно в приложении XWiki Platform Tag UI документ тегов `Main.Tags` в XWiki не обеспечивал должной очистки пользовательского ввода. Это позволяло пользователям, имеющим права на просмотр документа (по умолчанию для публичных вики или для аутентифицированных пользователей в частных вики), выполнять произвольный код Groovy, Python и Velocity с правами программирования. Также это позволяло обходить все проверки прав доступа, что приводило как к модификации, так и к раскрытию всего содержимого, хранящегося в инсталляции XWiki. Уязвимость может быть использована для воздействия на доступность вики-ресурса. В версиях XWiki старше 13.10.4 и 14.2 эту уязвимость можно комбинировать с CVE-2022-36092, что означает отсутствие необходимости в наличии прав доступа для выполнения атаки. Уязвимость исправлена в версиях 13.10.6 и 14.4. В качестве временного решения (workaround) патч, устраняющий проблему, может быть применен вручную к документу `Main.Tags`, либо обновленная версия этого документа может быть импортирована из версии 14.4 xwiki-platform-tag-ui с использованием функции импорта в интерфейсе администрирования XWiki версий 10.9 и новее.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.