CVE-2022-36100 in XWiki Platform Applications Tag
Tóm tắt
Bởi VulDB • 17/06/2026
Các ứng dụng Tag của XWiki Platform Applications Tag và XWiki Platform Tag UI là các ứng dụng thẻ dành cho XWiki, một nền tảng wiki tổng quát. Bắt đầu từ phiên bản 1.7 trong XWiki Platform Applications Tag và trước phiên bản 13.10.6 và 14.4 trong XWiki Platform Tag UI, tài liệu thẻ `Main.Tags` trong XWiki không thực hiện việc kiểm tra và làm sạch (sanitize) đầu vào của người dùng một cách đúng đắn. Điều này cho phép những người dùng có quyền xem trên tài liệu (mặc định trong một wiki công khai hoặc đối với người dùng đã xác thực trên các wiki riêng tư) thực thi mã Groovy, Python và Velocity tùy ý với quyền lập trình. Điều này cũng cho phép bỏ qua tất cả các kiểm tra quyền, dẫn đến cả việc sửa đổi và tiết lộ tất cả nội dung được lưu trữ trong cài đặt XWiki. Lỗ hổng này có thể được sử dụng để ảnh hưởng đến tính sẵn sàng của wiki. Trên các phiên bản XWiki trước 13.10.4 và 14.2, lỗ hổng này có thể được kết hợp với CVE-2022-36092, nghĩa là không cần bất kỳ quyền nào để thực hiện cuộc tấn công. Lỗ hổng đã được vá trong các phiên bản 13.10.6 và 14.4. Như một giải pháp tạm thời, bản vá khắc phục sự cố có thể được áp dụng thủ công vào tài liệu `Main.Tags` hoặc phiên bản cập nhật của tài liệu đó có thể được nhập từ phiên bản 14.4 của xwiki-platform-tag-ui bằng cách sử dụng tính năng nhập trong giao diện quản trị trên XWiki 10.9 và các phiên bản sau.
If you want to get best quality of vulnerability data, you may have to visit VulDB.