XWiki Platform路径遍历漏洞(CVE-2026-34151)安全风险通告

01 漏洞详情

影响组件

XWiki 是一款开源的企业级 Wiki 平台和知识管理工具，基于 Java 开发，支持结构化内容管理、文档协作、扩展插件机制以及强大的脚本和宏功能。它广泛应用于团队知识库构建、内部文档共享、企业门户和内容管理系统等领域，提供实时协作编辑、版本控制、权限管理和搜索等核心特性。XWiki 具有高度的可扩展性，可通过插件和脚本实现自定义应用开发，是许多组织数字化知识管理的首选平台。

漏洞描述

近日，奇安信CERT监测到官方修复XWiki Platform 路径遍历漏洞(CVE-2026-34151)，该漏洞源于 /skin/ action 端点在处理资源路径时，未充分抵御 Jetty 12+ 应用服务器特有的 URL 解码和规范化行为，导致攻击者可通过双重 URL 编码的 “..%252f” 序列绕过路径限制。该漏洞主要影响使用 Jetty 12+ 部署的 XWiki 实例（例如官方 Docker 镜像，默认将 XWiki 部署在多级目录下）。攻击者可利用该漏洞，通过构造特殊 URL 访问 Jetty 实例有权限读取的任意资源，包括系统配置文件、Hibernate 配置、XWiki 配置文件甚至服务器敏感文件（如 /etc/passwd），从而导致敏感信息泄露。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

利用条件

1.目标系统使用 Jetty 12+ 作为 Servlet 容器（Tomcat 或 Jetty < 12不受影响）。

2.攻击者能够向目标 XWiki 实例的 /bin/skin/ 端点发送 HTTP GET 请求。

3.目标文件需对 Jetty 进程具有可读权限。

02 影响范围

影响版本

XWiki Platform < 17.10.5

18.0.0-rc-1 <= XWiki Platform < 18.2.0

其他受影响组件

无

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现XWiki Platform 路径遍历漏洞(CVE-2026-34151)，截图如下：

04 受影响资产情况

奇安信鹰图资产测绘平台数据显示，XWiki Platform 路径遍历漏洞(CVE-2026-34151)关联的全球风险资产总数为3942个，关联IP总数为1670个。全球风险资产分布情况如下：

05 处置建议

安全更新

目前官方已发布安全更新，修复代码位于 xwiki-commons PR #1675（XCOMMONS-3594）中，该补丁在所有解码轮次完成后对资源路径进行归一化，并拒绝包含遍历模式的路径。

建议用户尽快升级至最新版本：

XWiki Platform >= 17.10.5

XWiki Platform 18.* >= 18.2.0

官方补丁下载地址：

https://github.com/xwiki/xwiki-platform/releases/tag/xwiki-platform-17.10.5

https://github.com/xwiki/xwiki-platform/releases/tag/xwiki-platform-18.2.0

临时缓解措施：

更换应用服务器: 如果无法立即升级，将 XWiki 从 Jetty 12+ 迁移到不受此问题影响的应用服务器，如 Tomcat 或 Jetty 12 之前的版本。

06 参考资料

[1]https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-qj4x-9g63-25g6

[2]https://jira.xwiki.org/browse/XWIKI-24075

[3]https://jira.xwiki.org/browse/XCOMMONS-3594

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。