PT-2025-35832 · Xwiki · Xwiki Platform

Gregor Neumann · Publicado 2025-09-03 · Atualizado 2026-01-16 · CVE-2025-55748

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas XWiki Platform versões 4.2-milestone-2 até 16.10.6

Descrição O XWiki Platform é uma plataforma wiki genérica. Arquivos de configuração estão acessíveis através dos endpoints jsx e sx. Um atacante pode acessar e ler arquivos de configuração usando URLs como http://localhost:8080/bin/ssx/Main/WebHome?resource=../../WEB-INF/xwiki.cfg&minify=false.

Recomendações Atualize para a versão 16.10.7 ou posterior.

Exploit

Correção

Relative Path Traversal

Enumeração de Fraquezas

CWE-23

Identificadores relacionados

BDU:2025-13433

CVE-2025-55748

GHSA-M63C-3RMG-R2CF

Produtos afetados

Xwiki Platform

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/55xxx/CVE-2025-55748.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-m63c-3rmg-r2cf · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/9e7b4c03f2143978d891109a17159f73d4cdd318#diff-ee78930a9ac5ea586179fe8ab88a5fd58e369d175927d1e88a0b4dbc3ebcbf1eR62 · Correção
• https://leakix.net/search?q=%2Bplugin%3AXWikiPlugin&scope=leak · Publicação no Reddit
• https://twitter.com/CVEnew/status/1963343862958624866 · Publicação no Twitter
• https://t.me/cveNotify/134246 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-55748 · Aviso do Fabricante
• https://twitter.com/XavSecOps/status/2012226006891819349 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-55748 · Nota de Segurança
• https://t.me/CVEtracker/31638 · Publicação no Telegram
• https://twitter.com/Crowd_Security/status/1988584099645124946 · Publicação no Twitter
• https://jira.xwiki.org/browse/XWIKI-23109 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-m63c-3rmg-r2cf · Aviso do Fabricante
• https://twitter.com/CCBalert/status/1963701616931914064 · Publicação no Twitter