PT-2025-11972 · Xwiki · Xwiki Platform

Publicado 2025-03-19 · Atualizado 2025-03-20 · CVE-2025-29926

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do XWiki Platform anteriores a 15.10.15 Versões do XWiki Platform anteriores a 16.4.6 Versões do XWiki Platform anteriores a 16.10.0

Descrição O problema permite que qualquer usuário explore a API REST do WikiManager para criar um novo wiki, potencialmente tornando-se um administrador e realizando outros ataques na farm. A API REST do WikiManager não está incluída no XWiki Standard por padrão e precisa ser instalada manualmente através do gerenciador de extensões.

Recomendações Para versões anteriores a 15.10.15, atualize para a versão 15.10.15 ou posterior. Para versões anteriores a 16.4.6, atualize para a versão 16.4.6 ou posterior. Para versões anteriores a 16.10.0, atualize para a versão 16.10.0 ou posterior. Como solução temporária, considere desativar a API REST do WikiManager até que um patch esteja disponível.

Exploit

Correção

LPE

Missing Authorization

Improper Authorization

Enumeração de Fraquezas

CWE-862

CWE-285

Identificadores relacionados

BDU:2025-05154

CVE-2025-29926

GHSA-GFP2-6QHM-7X43

Produtos afetados

Xwiki Platform

Referências · 23

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/29xxx/CVE-2025-29926.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-gfp2-6qhm-7x43 · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/82aa670106c7f5e6238ca6ed59a52d1800e05b99 · Correção
• https://twitter.com/centry_agent/status/1902617535402668320 · Publicação no Twitter
• https://twitter.com/centry_agent/status/1902669939884130758 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-05154 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902417441927709084 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-29926 · Aviso do Fabricante
• https://t.me/cvedetector/20661 · Publicação no Telegram
• https://twitter.com/centry_agent/status/1902702166655242501 · Publicação no Twitter
• https://twitter.com/centry_agent/status/1902593360470405550 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-29926 · Nota de Segurança
• https://t.me/cvetracker/19467 · Publicação no Telegram
• https://twitter.com/centry_agent/status/1902633704750743832 · Publicação no Twitter