JVNDB-2026-012482

XWikiのxwikiにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

XWikiプラットフォームは、その上に構築されたアプリケーションに対してランタイムサービスを提供する汎用ウィキプラットフォームです。バージョン1.8-rc-1、17.0.0-rc-1および17.5.0-rc-1以前には、/xwiki/rest/wikis/xwiki/spaces/AnnotationCode/pages/AnnotationConfig/objects/AnnotationCode.AnnotationConfig/0/propertiesのようなREST APIエンドポイントにリソース枯渇の脆弱性が存在していました。このエンドポイントは、データベースリストプロパティのメタデータの一部として利用可能な全ページをリストアップしますが、クエリ制限を適用していません。そのため、大規模なウィキでは利用可能なサーバーリソースが枯渇する可能性があります。この問題はバージョン16.10.16、17.4.8および17.10.1で修正されました。

XWiki

• xwiki 1.8 以上 16.10.16 未満
• xwiki 17.0.0 以上 17.4.8 未満
• xwiki 17.5.0 以上 17.10.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : REST APIs can list all pages/spaces, leading to unavailability  Advisory  xwiki/xwiki-platform  GitHub

XWiki

• JIRA : [XWIKI-23550] REST APIs can list all pages/spaces, leading to unavailability - XWiki.org JIRA

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-40104

1. National Vulnerability Database (NVD) : CVE-2026-40104
2. 関連文書 : XWIKI-23550: DBListClass should respect query limit  xwiki/xwiki-platform@47b568c  GitHub

• [2026年04月24日]
    掲載