CVE-2024-31997criticalCWE-862

CVE-2024-31997: fallo crítico en xwiki-platform

XWiki Platform remote code execution from account through UIExtension parameters

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear xwiki-platform+ Monitorear org.xwiki.platform:xwiki-platform-uiextension-api

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

50Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 10epss 74%
En resumen

XWiki ejecuta los parámetros de extensiones de UI como código con derechos totales, permitiendo que cualquier usuario con permiso de edición (incluido en su propio perfil) ejecute comandos arbitrarios y comprometa todo el sistema.

Detalle técnico

CWE-862 (Falta de Autorización): los parámetros de extensión de UI se interpretan como código Velocity y se ejecutan con privilegios de programación. Cualquier usuario autenticado con derechos de edición en documentos puede inyectar parámetros maliciosos, resultando en ejecución remota de código y compromiso total del sistema. Versiones afectadas: <14.10.19, <15.5.4, <15.9-RC1.

Resumen generado y traducido por IA a partir de la descripción oficial.
XWiki Platform is a generic wiki platform. Prior to versions 4.10.19, 15.5.4, and 15.10-rc-1, parameters of UI extensions are always interpreted as Velocity code and executed with programming rights. Any user with edit right on any document like the user's own profile can create UI extensions. This allows remote code execution and thereby impacts the confidentiality, integrity and availability of the whole XWiki installation. This vulnerability has been patched in XWiki 14.10.19, 15.5.4 and 15.9-RC1. No known workarounds are available.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
xwiki · xwiki-platform
CVEs relacionadas — xwiki-platform

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-24893CRITICALRemote code execution as guest via SolrSearchMacros request in xwikiEPSS 100.0%KEVCVE-2024-21650CRITICALXWiki Remote Code Execution vulnerability via user registrationEPSS 93.5%CVE-2023-37462CRITICALImproper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') in org.xwiki.platform:xwiki-platform-skin-uiEPSS 91.6%CVE-2023-46731CRITICALRemote code execution through the section parameter in Administration as guest in XWiki PlatformEPSS 88.5%CVE-2025-32429CRITICALXWiki Platform vulnerable to SQL injection through getdeleteddocuments.vm template sort parameterEPSS 85.5%CVE-2023-50719HIGHXWiki Platform Solr search discloses password hashes of all usersEPSS 83.5%