CVE-2024-31997criticalCWE-862

CVE-2024-31997: falha crítica em xwiki-platform

XWiki Platform remote code execution from account through UIExtension parameters

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar xwiki-platform+ Monitorar org.xwiki.platform:xwiki-platform-uiextension-api

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

50Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 10epss 74%
Em resumo

O XWiki executa parâmetros de extensões de UI como código com direitos totais, permitindo que qualquer usuário com permissão de edição (inclusive em seu próprio perfil) execute comandos arbitrários e comprometa todo o sistema.

Detalhe técnico

CWE-862 (Falta de Autorização): parâmetros de extensão de UI são interpretados como código Velocity e executados com privilégios de programação. Qualquer usuário autenticado com direitos de edição em documentos pode injetar parâmetros maliciosos, resultando em execução remota de código e comprometimento completo do sistema. Versões afetadas: <14.10.19, <15.5.4, <15.9-RC1.

Resumo gerado e traduzido por IA a partir da descrição oficial.
XWiki Platform is a generic wiki platform. Prior to versions 4.10.19, 15.5.4, and 15.10-rc-1, parameters of UI extensions are always interpreted as Velocity code and executed with programming rights. Any user with edit right on any document like the user's own profile can create UI extensions. This allows remote code execution and thereby impacts the confidentiality, integrity and availability of the whole XWiki installation. This vulnerability has been patched in XWiki 14.10.19, 15.5.4 and 15.9-RC1. No known workarounds are available.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
xwiki · xwiki-platform
CVEs relacionadas — xwiki-platform

No mesmo produto, das mais perigosas para as menos.

CVE-2025-24893CRITICALRemote code execution as guest via SolrSearchMacros request in xwikiEPSS 100.0%KEVCVE-2024-21650CRITICALXWiki Remote Code Execution vulnerability via user registrationEPSS 93.5%CVE-2023-37462CRITICALImproper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') in org.xwiki.platform:xwiki-platform-skin-uiEPSS 91.6%CVE-2023-46731CRITICALRemote code execution through the section parameter in Administration as guest in XWiki PlatformEPSS 88.5%CVE-2025-32429CRITICALXWiki Platform vulnerable to SQL injection through getdeleteddocuments.vm template sort parameterEPSS 85.5%CVE-2023-50719HIGHXWiki Platform Solr search discloses password hashes of all usersEPSS 83.5%