CVE-2026-34151 in XWiki
摘要
由 VulDB • 2026-09-14
XWiki Platform 是一个通用的 wiki 平台。在版本 17.10.5 和 18.2.0 之前，当使用 Jetty 12 或更高版本解码请求路径时，com.xpn.xwiki.web.SkinAction 中的 /skin/ action 能够解析出位于预期 skin 或 Web 应用程序资源前缀之外的双重编码父目录段。受影响的查找操作已替换为 Environment.getResourceAsStream(String, String)，从而将资源限制在其预期的前缀范围内。未经身份验证的远程攻击者可以利用此漏洞行为读取 Jetty 进程允许访问的任何任意资源，包括 WEB-INF/xwiki.cfg 以及根据部署深度和操作系统权限可能涉及的宿主机文件。Jetty 12 之前的 Tomcat 和 Jetty 版本似乎不受影响。该问题已在版本 17.10.5 和 18.2.0 中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.