一、漏洞详情

XWiki是一款开源的企业级Wiki平台和知识管理工具。

近日，监测到官方修复XWiki Platform路径遍历漏洞（CVE-2026-34151），该漏洞出现在/bin/skin/资源访问接口中，当XWiki部署在Jetty 12及以上版本环境时，接口对双重编码的路径穿越序列处理不当导致未经身份认证的远程攻击者可以构造恶意请求，通过双重编码绕过路径校验，逃逸原本限制的皮肤资源目录，读取Jetty进程权限范围内可访问的本地文件。成功利用该漏洞后，攻击者可读取服务器敏感文件，从而造成敏感信息泄露。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

XWiki Platform < 17.10.5

18.0.0-rc-1 <= XWiki Platform < 18.2.0

三、修复建议

官方已发布安全补丁，请及时更新至安全版本。

XWiki Platform >= 17.10.5

XWiki Platform 18.* >= 18.2.0