CVE-2026-34151

XWiki Platform genel bir wiki platformudur. 17.10.5 ve 18.2.0 sürümlerinden önce, Jetty 12 veya daha yeni bir sürüm istek yolunu çözdüğünde, com.xpn.xwiki.web.SkinAction içindeki /skin/ eylemi, hedeflenen skin veya web uygulaması kaynak ön eki dışındaki çift kodlanmış üst dizin bölümlerini çözümleyebilir. Etkilenen arama işlemi, kaynağı beklenen ön ekiyle sınırlayan Environment.getResourceAsStream(String, String) ile değiştirilmiştir. Kimliği doğrulanmamış uzak bir saldırgan, bu savunmasız davranışı kullanarak WEB-INF/xwiki.cfg dahil olmak üzere Jetty sürecine izin verilen rastgele kaynakları ve dağıtım derinliğine ve işletim sistemi izinlerine bağlı olarak ana makine dosyalarını okuyabilir. Tomcat ve 12 öncesi Jetty sürümlerinin etkilenmediği görülmektedir. Bu sorun 17.10.5 ve 18.2.0 sürümlerinde düzeltilmiştir.