CVE-2023-36469criticalCWE-74

CVE-2023-36469: falha crítica em xwiki-platform

Code injection through NotificationRSSService in XWiki Platform

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar xwiki-platform+ Monitorar org.xwiki.platform:xwiki-platform-notifications-ui

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

50Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 10epss 82%
Em resumo

Uma falha no XWiki Platform permite que usuários executem código malicioso através das configurações de notificação, dando ao atacante controle total sobre o conteúdo do wiki e do servidor.

Detalhe técnico

Validação inadequada de entrada no NotificationRSSService permite injeção de código Groovy e Python arbitrários quando usuários modificam perfil ou preferências de notificação. Essa vulnerabilidade permite execução remota de código com acesso irrestrito de leitura e escrita em todos os dados do wiki, sem exigir privilégios de administrador.

Resumo gerado e traduzido por IA a partir da descrição oficial.
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Any user who can edit their own user profile and notification settings can execute arbitrary script macros including Groovy and Python macros that allow remote code execution including unrestricted read and write access to all wiki contents. This has been patched in XWiki 14.10.6 and 15.2RC1. Users are advised to update. As a workaround the main security fix can be manually applied by patching the affected document `XWiki.Notifications.Code.NotificationRSSService`. This will break the link to the differences, though as this requires additional changes to Velocity templates as shown in the patch. While the default template is available in the instance and can be easily patched, the template for mentions is contained in a `.jar`-file and thus cannot be fixed without replacing that jar.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
xwiki · xwiki-platform
CVEs relacionadas — xwiki-platform

No mesmo produto, das mais perigosas para as menos.

CVE-2025-24893CRITICALRemote code execution as guest via SolrSearchMacros request in xwikiEPSS 100.0%KEVCVE-2024-21650CRITICALXWiki Remote Code Execution vulnerability via user registrationEPSS 93.5%CVE-2023-37462CRITICALImproper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') in org.xwiki.platform:xwiki-platform-skin-uiEPSS 91.6%CVE-2023-46731CRITICALRemote code execution through the section parameter in Administration as guest in XWiki PlatformEPSS 89.7%CVE-2025-32429CRITICALXWiki Platform vulnerable to SQL injection through getdeleteddocuments.vm template sort parameterEPSS 85.5%CVE-2023-50719HIGHXWiki Platform Solr search discloses password hashes of all usersEPSS 83.5%