CVE-2026-33137: XWiki Platform: falta de autorização na API de importação XAR

Visão geral

O XWiki Platform é uma plataforma wiki genérica que oferece serviços de execução para aplicações construídas sobre ela. Segundo o registro, a API POST /wikis/{wikiName} realiza uma importação de XAR sem verificar autenticação nem autorização. A fraqueza é classificada como CWE-862 (Falta de autorização).

Impacto

Um atacante remoto não autenticado poderia criar ou alterar documentos na wiki visada.
O vetor CVSS 4.0 do registro classifica o impacto de confidencialidade, integridade e disponibilidade no sistema vulnerável como alto, sem necessidade de interação do usuário e sem privilégios.
A pontuação de 9.3 foi informada pelo GitHub Security Advisories. Nenhum outro provedor de pontuação consta no registro.

Produtos e versões afetados

Produto: XWiki Platform.
O registro descreve a faixa afetada como a partir de 15.10.6 e anterior a 18.1.0-rc-1, 17.10.3, 17.4.9 e 16.10.17.
Versões corrigidas citadas no registro: 16.10.17, 17.4.9, 17.10.3, 18.0.1 e 18.1.0-rc-1.
Os campos estruturados de produtos afetados e correções estão vazios, por isso os limites exatos de cada ramo devem ser confirmados no aviso do fornecedor.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não é confirmada pelas fontes consultadas.
A probabilidade EPSS é de 0.00879, com percentil de 0.58006, conforme registrado para a data 2026-10-13. O EPSS estima a probabilidade de exploração e não confirma que ela tenha ocorrido.

Correção e mitigação

Atualize o XWiki Platform para uma das versões corrigidas correspondentes ao seu ramo: 16.10.17, 17.4.9, 17.10.3, 18.0.1 ou 18.1.0-rc-1.
Se a atualização imediata não for possível, restrinja o acesso de rede aos endpoints de gerenciamento e de API da wiki a redes confiáveis e, quando viável, coloque controles de autenticação na frente deles.
Após a correção, verifique se foram criados ou alterados documentos inesperados.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições POST a endpoints de gerenciamento da wiki que não estejam precedidas de sessão autenticada.
Procure atividade incomum de importação de XAR e criações ou modificações de documentos que não correspondam aos fluxos editoriais conhecidos.
Compare o histórico de versões dos documentos e os metadados das páginas com backups para identificar alterações não autorizadas.

Limitações das informações disponíveis

O registro não traz uma lista estruturada de faixas de versões afetadas, e o campo de correções está vazio; as versões corrigidas foram extraídas da descrição.
A descrição não informa se o ramo 18.0.x está afetado antes da versão 18.0.1; essa informação é desconhecida a partir do registro.
O registro não informa se a importação de XAR pode ser desabilitada por configuração como mitigação; essa informação é desconhecida.
O registro não descreve código de prova de conceito público nem campanhas observadas; as fontes consultadas não confirmam esses elementos.
O campo de título do registro está vazio e o status da fonte é Deferred.

Perguntas frequentes

O que a CVE-2026-33137 permite a um atacante?

Segundo o registro, um atacante não autenticado pode usar a API POST /wikis/{wikiName}, que realiza uma importação de XAR sem verificação de autorização, para criar ou alterar documentos na wiki de destino.

Quais versões do XWiki estão corrigidas?

O registro cita as versões corrigidas 16.10.17, 17.4.9, 17.10.3, 18.0.1 e 18.1.0-rc-1. Administradores devem atualizar para a versão correspondente ao seu ramo.

Há exploração ativa conhecida desta vulnerabilidade?

Não. O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.