CVE-2023-26055
Publiée le 2023-03-02 · Dernière modification le 2026-06-17
Les installations XWiki utilisant des versions affectées de XWiki Commons sont vulnérables à l'exécution de code à distance. Un attaquant disposant d'un compte utilisateur basique peut injecter du code malveillant dans son propre profil ou dans d'autres champs de texte court pour exécuter des commandes avec des droits de programmation administratifs. Cette action est facile à réaliser via un réseau et ne nécessite qu'une authentification de bas niveau, sans aucune interaction requise de la part d'autres utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
XWiki Commons are technical libraries common to several other top level XWiki projects. Starting in version 3.1-milestone-1, any user can edit their own profile and inject code, which is going to be executed with programming right. The same vulnerability can also be exploited in all other places where short text properties are displayed, e.g., in apps created using Apps Within Minutes that use a short text field. The problem has been patched on versions 13.10.9, 14.4.4, 14.7RC1.