PT-2026-80738 · Xwiki · Xwiki

CVE-2026-53966

·

Publicado

2026-06-11

·

Atualizado

2026-08-19

CVSS v4.0

7.1

Alta

VetorAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas XWiki versões anteriores a 16.10.17 XWiki versões anteriores a 17.4.10 XWiki versões anteriores a 17.10.4 XWiki versões anteriores a 18.1.0
Description Usuários com permissões de edição de página podem utilizar a API REST de edição do Live Data para modificar os direitos da página, permitindo que obtenham direitos de script. Isso possibilita a execução de scripts Velocity potencialmente perigosos e o envio de HTML e JavaScript não filtrados para os clientes. Além disso, verificações de segurança implementadas como listeners para UserUpdatingDocumentEvent e eventos User... semelhantes podem ser ignoradas.
Recommendations Atualize para a versão 16.10.17. Atualize para a versão 17.4.10. Atualize para a versão 17.10.4. Atualize para a versão 18.1.0.

Correção

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-53966
GHSA-45PH-GXXR-GWGW

Produtos afetados

Xwiki