CVE-2026-34151

XWiki Platform: Resource path traversal via /skin/ action endpoint in Jetty 12+

CVSS 3.1High

8.2/ 10.0

Опубликовано

14 сентября 2026 г.

Обновлено

14 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 17.10.5, 18.2.0

Обновите XWiki Platform до версий 17.10.5, 18.2.0 или новее. В коде вызов заменен на Environment.getResourceAsStream(String, String).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход каталога (Path Traversal) через эндпоинт /skin/ в XWiki Platform при работе под Jetty 12+. Позволяет неаутентифицированному пользователю читать файлы сервера.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Класс com.xpn.xwiki.web.SkinAction некорректно обрабатывает сегменты с двойным URL-кодированием каталогов '../', разрешая запросы за пределы директории скинов из-за специфики декодирования путей в Jetty 12+.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несанкционированное чтение конфигурационных файлов (включая WEB-INF/xwiki.cfg) и произвольных файлов операционной системы в рамках прав процесса Jetty.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

xwikixwiki-platform

все ранние➔Fix: 17.10.5

xwikixwiki-platform

>= 18.0.0-rc-1➔Fix: 18.2.0

——

>= 0➔Fix: 17.10.5

——

>= 18.0.0-rc-1➔Fix: 18.2.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

github.comhttps://github.com/xwiki/xwiki-platform/security/advisories/GHSA-qj4x-9g63-25g6
github.comhttps://github.com/xwiki/xwiki-commons/pull/1675
github.comhttps://github.com/xwiki/xwiki-platform/commit/79eba8655f3a96021a8e7ad07956e48d20a82383
github.comhttps://github.com/xwiki/xwiki-platform/commit/f7b33704083d3b4e45d1b9fc1e2cc33c66855f85
github.comhttps://github.com/xwiki/xwiki-platform/releases/tag/xwiki-platform-17.10.5
github.comhttps://github.com/xwiki/xwiki-platform/releases/tag/xwiki-platform-18.2.0
jira.xwiki.orghttps://jira.xwiki.org/browse/XCOMMONS-3594
jira.xwiki.orghttps://jira.xwiki.org/browse/XWIKI-24075

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-34151: XWiki Platform: Resource path traversal via /skin/ action endpoint in Jetty 12+. URL: https://cve.futuretools.ru/cve/CVE-2026-34151

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_34151,
  title = {{CVE-2026-34151: XWiki Platform: Resource path traversal via /skin/ action endpoint in Jetty 12+}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-34151}},
  note = {Оперативный инженерный анализ киберугроз}
}