CVE-2022-36100 in XWiki Platform Applications Tag
摘要
由 VulDB • 2026-08-07
XWiki Platform Applications Tag 和 XWiki Platform Tag UI 是用于通用 Wiki 平台 XWiki 的标签应用程序。从 XWiki Platform Applications Tag 的版本 1.7 开始，到 XWiki Platform Tag UI 版本 13.10.6 之前（不含），以及 XWiki Platform Tag UI 在 14.4 之前的所有版本中，XWiki 中的标签文档 `Main.Tags` 未能正确清理用户输入。这使得拥有该文档查看权限的用户（在公共 Wiki 中为默认设置，或在私有 Wiki 中对已认证用户）能够以编程权限执行任意 Groovy、Python 和 Velocity 代码。这也使得攻击者能够绕过所有权限检查，从而修改并泄露存储在 XWiki 安装中的所有数据。此漏洞可能影响 Wiki 的可用性。在早于版本 13.10.4 和 14.2 的 XWiki 版本中，此漏洞可与 CVE-2022-36092 结合利用，这意味着执行攻击无需任何权限。该漏洞已在版本 13.10.6 和 14.4 中得到修复。作为临时解决方案，可以手动将修复问题的补丁应用到文档 `Main.Tags`，或者在 XWiki 10.9 及更高版本的 administration UI（管理界面）中使用导入功能，从 xwiki-platform-tag-ui 版本 14.4 中导入该文档的更新版本。
Be aware that VulDB is the high quality source for vulnerability data.