CVE-2026-23734: XWiki Platform: Path Traversal expõe arquivos de configuração
Versões do XWiki Platform anteriores a 18.1.0-rc-1, 17.10.3, 17.4.9 e 16.10.17 apresentam uma fraqueza de path traversal (CWE-23) que pode expor arquivos de configuração pelos endpoints ssx e jsx. O CNA do GitHub atribuiu nota 9,3 (crítica) no CVSS 4.0, e o registro indica que o problema foi corrigido nas versões citadas. O registro não consta no CISA KEV e não há exploração confirmada nas fontes consultadas.
Visão geral
A XWiki Platform é uma plataforma wiki genérica. O aviso do GitHub associado ao CVE-2026-23734 descreve uma fraqueza de path traversal (CWE-23) nos endpoints ssx e jsx que pode levar à leitura de arquivos de configuração do servidor.
Impacto
- O registro descreve acesso de leitura a arquivos de configuração, o que pode expor configurações internas do wiki.
- O vetor CVSS 4.0 atribuído pelo CNA do GitHub indica alto impacto em confidencialidade, integridade e disponibilidade do sistema vulnerável, mais amplo que a leitura descrita no texto.
- Como o vetor indica que não são necessários privilégios nem interação do usuário, o registro classifica o problema como alcançável pela rede.
Produtos e versões afetados
- Produto: XWiki Platform.
- Versões anteriores a 18.1.0-rc-1, 17.10.3, 17.4.9 e 16.10.17 são descritas como afetadas.
- Os campos estruturados de afetados e correções do registro estão vazios, portanto a lista de versões vem apenas do texto da descrição.
Status de exploração
- O registro não lista este CVE no CISA KEV.
- Não há exploração confirmada na natureza nas fontes consultadas para esta análise.
- Os dados EPSS do registro indicam probabilidade de 0,19559 e percentil de 0,9733, que é uma estimativa estatística e não evidência de exploração.
Correção e mitigação
- Atualize a XWiki Platform para uma versão listada como corrigida: 18.1.0-rc-1, 17.10.3, 17.4.9 ou 16.10.17, conforme o ramo instalado.
- Se a atualização não puder ser feita de imediato, restrinja o acesso ao wiki e a seus endpoints a redes confiáveis e revise os controles de acesso nos endpoints afetados.
- Consulte o aviso do GitHub e o commit vinculado para orientações do fornecedor.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições aos endpoints ssx e jsx com sequências de path traversal ou valores incomuns no parâmetro de recurso.
- Verifique se arquivos de configuração foram acessados pela interface web e trate qualquer acesso inesperado como possível incidente.
- Confirme a versão em execução da XWiki Platform contra a lista de versões corrigidas.
Limitações das informações disponíveis
- Os campos de afetados e correções do registro estão vazios, por isso a lista de ramos afetados e de outras versões corrigidas é desconhecida além da descrição.
- O título do registro está ausente e o status da fonte é Deferred, então as informações podem mudar.
- O registro não informa quais arquivos de configuração ou dados poderiam ser expostos, o que é desconhecido.
- A URL de exemplo da descrição original foi omitida desta análise para não publicar uma requisição funcional.
Perguntas frequentes
Quais versões do XWiki Platform são afetadas pelo CVE-2026-23734?
O registro descreve como afetadas as versões anteriores a 18.1.0-rc-1, 17.10.3, 17.4.9 e 16.10.17. A lista estruturada de afetados está vazia, então a descrição é a única fonte de versões.
O CVE-2026-23734 é explorado na natureza?
O registro não o lista no CISA KEV e não há exploração confirmada nas fontes consultadas. A pontuação EPSS é uma estimativa estatística, não prova de exploração.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.