PT-2025-18317 · Xwiki · Xwiki

Lmonert · Publicado 2024-08-14 · Atualizado 2025-09-03 · CVE-2025-46554

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do XWiki 1.8.1 até 14.10.21 Versões do XWiki 15.0-rc-1 até 15.10.11 Versões do XWiki 16.0.0-rc-1 até 16.4.2 Versões do XWiki 16.5.0-rc-1 até 16.6.x

Descrição A falha permite que qualquer pessoa acesse os metadados de qualquer anexo na wiki utilizando o endpoint REST de anexos da wiki. Não há filtragem dos resultados com base nas permissões do usuário atual, o que significa que um usuário não autenticado poderia explorar essa falha mesmo em uma wiki privada.

Recomendações Para as versões 1.8.1 até 14.10.21, atualize para a versão 14.10.22 ou posterior. Para as versões 15.0-rc-1 até 15.10.11, atualize para a versão 15.10.12 ou posterior. Para as versões 16.0.0-rc-1 até 16.4.2, atualize para a versão 16.4.3 ou posterior. Para as versões 16.5.0-rc-1 até 16.6.x, atualize para a versão 16.7.0 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

BDU:2025-05353

CVE-2025-46554

GHSA-R5CR-XM48-97XP

Produtos afetados

Xwiki

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/46xxx/CVE-2025-46554.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-r5cr-xm48-97xp · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/c02ce7843a39851865b9d7b6132e32fdd21e3856 · Correção
• https://github.com/xwiki/xwiki-platform/commit/37ecea84fdd053c33733c2ae9a0778bf98eae608 · Correção
• https://github.com/xwiki/xwiki-platform/commit/a43e933ddeda17dad1772396e1757998260e9342 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-46554 · Nota de Segurança
• https://t.me/cvedetector/24135 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-46554 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-r5cr-xm48-97xp · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1917652177805336864 · Publicação no Twitter
• https://jira.xwiki.org/browse/XWIKI-22427 · Nota
• https://jira.xwiki.org/browse/XWIKI-22424 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-05353 · Nota de Segurança
• https://t.me/cveNotify/134222 · Publicação no Telegram