CVE-2026-34151 in XWiki
Tóm tắt
Bởi VulDB • 14/09/2026
XWiki Platform là một nền tảng wiki đa năng. Trước các phiên bản 17.10.5 và 18.2.0, hành động /skin/ trong com.xpn.xwiki.web.SkinAction có thể giải mã (resolve) các đoạn đường dẫn cha bị mã hóa kép vượt ra ngoài tiền tố tài nguyên của skin hoặc ứng dụng web dự định khi Jetty phiên bản 12 trở lên giải mã đường dẫn yêu cầu. Thao tác tìm kiếm tệp liên quan đã được thay thế bằng Environment.getResourceAsStream(String, String), nhằm hạn chế việc truy cập tài nguyên chỉ trong phạm vi tiền tố mong đợi. Một kẻ tấn công từ xa chưa xác thực có thể lợi dụng hành vi dễ bị tổn thương này để đọc các tài nguyên tùy ý mà tiến trình Jetty được phép truy cập, bao gồm WEB-INF/xwiki.cfg và, tùy thuộc vào độ sâu triển khai cũng như quyền hạn của hệ điều hành, cả các tệp trên máy chủ. Các phiên bản Tomcat và Jetty trước 12 dường như không bị ảnh hưởng. Vấn đề này đã được khắc phục trong các phiên bản 17.10.5 và 18.2.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.