CVE-2023-50719highCWE-200CWE-359

CVE-2023-50719: falha de alta gravidade em xwiki-platform

XWiki Platform Solr search discloses password hashes of all users

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar xwiki-platform+ Monitorar org.xwiki.platform:xwiki-platform-search-solr-api

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

58Vexday Risk Score

Corrija em breve. Ela tem exploit funcional público.

ssvc Attendcvss 7.5epss 84%
Em resumo

A busca do XWiki expõe os hashes de senha de todos os usuários nos resultados. Como os perfis são públicos por padrão, qualquer pessoa pode visualizar essas informações sensíveis.

Detalhe técnico

A funcionalidade de busca baseada em Solr do XWiki Platform falha em filtrar campos sensíveis (CWE-200: Exposição de Informação Sensível) dos índices de busca, permitindo que usuários com poucos privilégios ou não autenticados recuperem hashes de senha e chaves de API através de consultas de busca padrão. Versões afetadas de 7.2-milestone-2 até 15.7-rc-1 carecem de controles de acesso apropriados em dados sensíveis indexados.

Resumo gerado e traduzido por IA a partir da descrição oficial.
XWiki Platform is a generic wiki platform. Starting in 7.2-milestone-2 and prior to versions 14.10.15, 15.5.2, and 15.7-rc-1, the Solr-based search in XWiki discloses the password hashes of all users to anyone with view right on the respective user profiles. By default, all user profiles are public. This vulnerability also affects any configurations used by extensions that contain passwords like API keys that are viewable for the attacker. Normally, such passwords aren't accessible but this vulnerability would disclose them as plain text. This has been patched in XWiki 14.10.15, 15.5.2 and 15.7RC1. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
xwiki · xwiki-platform
CVEs relacionadas — xwiki-platform

No mesmo produto, das mais perigosas para as menos.

CVE-2025-24893CRITICALRemote code execution as guest via SolrSearchMacros request in xwikiEPSS 100.0%KEVCVE-2024-21650CRITICALXWiki Remote Code Execution vulnerability via user registrationEPSS 93.5%CVE-2023-37462CRITICALImproper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') in org.xwiki.platform:xwiki-platform-skin-uiEPSS 91.6%CVE-2023-46731CRITICALRemote code execution through the section parameter in Administration as guest in XWiki PlatformEPSS 89.7%CVE-2025-32429CRITICALXWiki Platform vulnerable to SQL injection through getdeleteddocuments.vm template sort parameterEPSS 85.5%CVE-2024-31984CRITICALXWiki Platform: Remote code execution through space title and Solr space facetEPSS 83.0%