PT-2025-35113 · Xwiki · Xwiki Platform
Michael Hamann
·
Publicado
2025-08-28
·
Atualizado
2025-12-27
·
CVE-2025-58049
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas:
Versões do XWiki Platform de 14.4.2 a 16.4.7
Versões do XWiki Platform de 16.5.0-rc-1 a 16.10.6
Versões do XWiki Platform de 17.0.0-rc-1 a 17.4.0-rc-1
Descrição:
As tarefas de exportação para PDF armazenam cookies sensíveis sem criptografia nos status das tarefas. Isso inclui o nome de usuário e a senha criptografados, o que efetivamente expõe a senha em texto simples caso a chave de criptografia seja comprometida. A chave de criptografia é armazenada no mesmo diretório de dados que o status da tarefa, tornando-a acessível. A vulnerabilidade existe porque o status da tarefa inclui cookies da requisição HTTP que acionou a exportação.
Recomendações:
Atualize para o XWiki Platform versão 16.4.8 ou posterior.
Atualize para o XWiki Platform versão 16.10.7 ou posterior.
Atualize para o XWiki Platform versão 17.4.0-rc-1 ou posterior.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Xwiki Platform