FICHE CVE

CVE-2026-48048

Publiée le 2026-08-10 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les installations de XWiki, sur plusieurs versions, sont sensibles à une faille dans la macro `LiveTableResults` qui permet à un attaquant d'extraire les hachages de mots de passe et les sels des utilisateurs. Un attaquant distant non authentifié peut récupérer un hachage complet en envoyant une série de requêtes réseau spécialement conçues. Comme cela ne nécessite aucune interaction de l'utilisateur ni de connexion préalable, l'exécution est relativement simple si le serveur est exposé sur Internet.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-359

Publiée2026-08-10

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

XWiki Platform is a generic wiki platform. XWiki discovered that the patch for GHSA-5cf8-vrr8-8hjm was insufficient. Starting with version 6.2.1 and prior to versions 18.0.0RC1, 17.10.13, 17.4.9 and 16.10.17, with slightly modified parameters to the `LiveTableResults`, it is still possible to discover password hashes one bit at a time, so with 768 requests, the full password salt and hash can be retrieved of a user. The check for password (and email properties) has been adjusted in XWiki 18.0.0RC1, 17.10.13, 17.4.9 and 16.10.17. As a workaround, the patch can be applied manually to the wiki page `XWiki.LiveTableResultsMacros`.