JVNDB-2026-003769

XWikiのxwiki-rendering等の複数製品における複数の脆弱性

XWikiプラットフォームは、その上に構築されたアプリケーションに対してランタイムサービスを提供する汎用ウィキプラットフォームです。バージョン7.0-milestone-2から16.10.11、17.0.0-rc-1から17.4.4、および17.5.0-rc-1から17.7.0には、リフレクティッドクロスサイトスクリプティング（XSS）脆弱性が存在し、攻撃者が悪意のあるURLを作成して被害者と同じ権限で任意の操作を実行できます。被害者が管理者またはプログラミング権限を持っている場合、その権限を悪用してXWikiインストール全体に完全にアクセス可能です。この問題はバージョン17.8.0-rc-1、17.4.5、および16.10.12で修正されています。回避策としては、パッチを手動で適用でき、templates/logging_macros.vmの単一行を変更するだけで済み、再起動は不要です。

XWiki

• xwiki 17.0.1 以上 17.4.5 未満
• xwiki 17.6.0 以上 17.8.0 未満
• xwiki 7.0.1 以上 16.10.12 未満
• xwiki 17.0.0
• xwiki 7.0
• xwiki-rendering 17.5.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Reflected Cross-Site Scripting (XSS) in Error Messages  Advisory  xwiki/xwiki-platform  GitHub

XWiki

• JIRA : [XWIKI-23462] Reflected Cross-Site Scripting (XSS) in Error Messages - XWiki.org JIRA

1. クロスサイトスクリプティング(CWE-79) [その他]
2. クロスサイトスクリプティング (Basic XSS)(CWE-80) [その他]

1. CVE-2026-24128

1. National Vulnerability Database (NVD) : CVE-2026-24128
2. 関連文書 : Release 16.10.12  xwiki/xwiki-platform  GitHub
3. 関連文書 : Release 17.4.5  xwiki/xwiki-platform  GitHub
4. 関連文書 : Release 17.8.0-rc-1  xwiki/xwiki-platform  GitHub
5. 関連文書 : XWIKI-23462: Some extension IDs in log messages aren't displayed corr…  xwiki/xwiki-platform@8337ac8  GitHub

• [2026年02月17日]
    掲載