FICHE CVE

CVE-2023-35151

Publiée le 2023-06-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de XWiki antérieures aux versions 14.4.8, 14.10.6 et 15.1 sont vulnérables à une fuite d'informations. Un attaquant non authentifié disposant d'un accès réseau peut appeler un point de terminaison REST spécifique pour récupérer des mots de passe d'utilisateurs offusqués, contournant ainsi les paramètres d'offuscation des e-mails activés. Cette attaque est facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-359 Ressource exposée à un mauvais périmètre · CWE-668

Publiée2023-06-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

XWiki Platform is a generic wiki platform. Starting in version 7.3-milestone-1 and prior to versions 14.4.8, 14.10.6, and 15.1, ny user can call a REST endpoint and obtain the obfuscated passwords, even when the mail obfuscation is activated. The issue has been patched in XWiki 14.4.8, 14.10.6, and 15.1. There is no known workaround.