PT-2026-4526 · Xwiki · Xwiki Platform

Mikecole-Mg · Publicado 2026-01-23 · Atualizado 2026-02-12 · CVE-2026-24128

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas XWiki Platform versões 7.0-milestone-2 até 16.10.11 XWiki Platform versões 17.0.0-rc-1 até 17.4.4 XWiki Platform versões 17.5.0-rc-1 até 17.7.0

Descrição O XWiki Platform apresenta uma vulnerabilidade de Cross-site Scripting (XSS) refletido. Isso permite que um atacante crie uma URL maliciosa que, ao ser acessada por uma vítima, pode executar ações arbitrárias com os mesmos privilégios da vítima. Caso a vítima tenha direitos administrativos ou de programação, um atacante poderá obter acesso total à instalação do XWiki. O problema está na infraestrutura de logs da plataforma, permitindo que atacantes injetem scripts maliciosos por meio de identificadores de extensão criados especificamente.

Recomendações XWiki Platform versões 7.0-milestone-2 até 16.10.11: Atualize para a versão 16.10.12 ou posterior. XWiki Platform versões 17.0.0-rc-1 até 17.4.4: Atualize para a versão 17.4.5 ou posterior. XWiki Platform versões 17.5.0-rc-1 até 17.7.0: Atualize para a versão 17.8.0-rc-1 ou posterior. Como solução temporária, aplique manualmente o patch alterando uma única linha no arquivo templates/logging macros.vm. Não é necessário reiniciar.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

CWE-80

Identificadores relacionados

BDU:2026-00973

CVE-2026-24128

GHSA-WVQX-M5PX-6CMP

Produtos afetados

Xwiki Platform

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/24xxx/CVE-2026-24128.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-wvqx-m5px-6cmp · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/8337ac8c3b19c37f306723b638b2cae8b0a57dbf · Correção
• https://github.com/xwiki/xwiki-platform/releases/tag/xwiki-platform-17.4.5 · Nota
• https://github.com/xwiki/xwiki-platform/releases/tag/xwiki-platform-17.8.0-rc-1 · Nota
• https://github.com/xwiki/xwiki-platform/commit/8337ac8c3b19c37f306723b638b2cae8b0a57dbf#diff-8f16efedd19baae025db602d8736a105bfd8f72676af2c935b8195a0c356ee71 · Nota
• https://github.com/xwiki/xwiki-platform/releases/tag/xwiki-platform-16.10.12 · Nota
• https://jira.xwiki.org/browse/XWIKI-23462 · Aviso do Fabricante
• https://twitter.com/pdnuclei_bot/status/2018474555149594734 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-24128 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-24128 · Nota de Segurança
• https://twitter.com/_cvereports/status/2014739980069872099 · Publicação no Twitter
• https://t.me/cveNotify/151844 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-wvqx-m5px-6cmp · Aviso do Fabricante