CVE-2026-34151

XWiki Platform ümumi bir wiki platformasıdır. 17.10.5 və 18.2.0 versiyalarından əvvəl, Jetty 12 və ya daha yeni versiya sorğu yolunu dekod etdikdə, com.xpn.xwiki.web.SkinAction daxilindəki /skin/ hərəkəti nəzərdə tutulmuş skin və ya veb-tətbiq resurs prefiksinin xaricində ikiqat kodlaşdırılmış valideyn kataloq seqmentlərini həll edə bilər. Təsirə məruz qalan axtarış prosesi, resursu gözlənilən prefiksi ilə məhdudlaşdıran Environment.getResourceAsStream(String, String) ilə əvəz edilmişdir. Autentifikasiya olunmamış uzaq hücumçu bu zəiflikdən istifadə edərək Jetty prosesinə icazə verilmiş istənilən resursları, o cümlədən WEB-INF/xwiki.cfg faylını və tətbiqin yerləşmə dərinliyindən və əməliyyat sistemi icazələrindən asılı olaraq host fayllarını oxuya bilər. Tomcat və Jetty-nin 12-dən əvvəlki versiyalarının təsirləndiyi görünmür. Bu problem 17.10.5 və 18.2.0 versiyalarında düzəldilmişdir.