一、 漏洞 CVE-2025-55749 基础信息
漏洞信息
# XWiki XJetty 文件访问漏洞
## 概述
XWiki 是一个开源的 Wiki 软件平台。在特定版本范围内，使用 XWiki Jetty 包（XJetty）的实例存在一个漏洞，导致攻击者可静态访问 `webapp/` 文件夹中的任意文件。
## 影响版本
受影响的版本包括：
- 16.7.0 到 16.10.11（未修复的旧版本）
- 17.4.4（未修复的旧版本）
- 17.7.0（未修复的旧版本）
漏洞已在以下版本中修复：
- 16.10.11
- 17.4.4
- 17.7.0
## 漏洞细节
使用 XWiki Jetty 包的实例中，存在一个公开的上下文路径，可以用于直接访问 `webapp/` 目录下的任意静态文件。这可能导致攻击者访问敏感文件（如包含凭据的配置文件）。
## 潜在影响
攻击者可利用该漏洞读取 `webapp/` 文件夹中的任意文件，可能泄露敏感信息如数据库凭据、配置信息等。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
The XWiki Jetty package (XJetty) allows accessing any application file through URL
来源：美国国家漏洞数据库 NVD
漏洞描述信息
XWiki is an open-source wiki software platform. From 16.7.0 to 16.10.11, 17.4.4, or 17.7.0, in an instance which is using the XWiki Jetty package (XJetty), a context is exposed to statically access any file located in the webapp/ folder. It allows accessing files which might contains credentials. Fixed in 16.10.11, 17.4.4, and 17.7.0.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
访问控制不恰当
来源：美国国家漏洞数据库 NVD
漏洞标题
XWiki Platform 访问控制错误漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
XWiki Platform是XWiki开源的一套用于创建Web协作应用程序的Wiki平台。 XWiki Platform 16.7.0版本至16.10.11版本、17.4.4版本和17.7.0版本存在访问控制错误漏洞，该漏洞源于XJetty包暴露上下文可能导致访问包含凭据的文件。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-55749 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | XWiki 16.7.0 to 16.10.11, 17.4.4, and 17.7.0 using XJetty contains an information disclosure vulnerability caused by exposed context allowing static access to files in webapp/ folder, letting attackers access sensitive files, exploit requires use of XJetty package. | https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-55749.yaml | POC详情 |
三、漏洞 CVE-2025-55749 的情报信息
- https://jira.xwiki.org/browse/XWIKI-23438x_refsource_MISC
标题： XJetty allow accessing any application file through URL · Advisory · xwiki/xwiki-platform · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：## 关键漏洞信息 ### 漏洞名称 XJetty allow accessing any application file through URL ### 漏洞描述 - **CVE ID**: CVE-2025-55749 - **CVSS v4 基本度量**: - 严重性: 高 (8.7/10) - 攻击向量: 网络 - 攻击复杂度: 低 - 攻击条件: 无 - 必须权限: 无 - 用户交互: 无 - 机密性影响: 高 - 完整性影响: 无 - 可用性影响: 无 ### 影响范围 - **受影响版本**: >= 16.7.0 - **修复版本**: 16.10.11, 17.4.4, 17.7.0 ### 影响 在一个使用XWiki Jetty包的实例中，可以暴露一个上下文以通过URL静态访问webapp/文件夹中的任何文件。这允许访问可能包含凭据的文件。 ### 修复措施 该漏洞已在以下版本中修复: 16.10.11, 17.4.4, 17.7.0。 ### 替代方案 修改start_xwiki.sh脚本。 ### 弱点 - CWE-284
标题： Unicorn! · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：### 关键信息 - **状态信息**: GitHub当前遇到严重的服务中断，影响了页面的正常访问。 - **原因描述**: 提到"Unicorns have taken over"，这通常是一种幽默的表达方式，实际上可能是指内部系统出现了难以预期的严重问题。 - **处理措施**: 正在全力解决问题，以恢复服务。 - **联系方式**: 提供了联系支持和查看GitHub状态的途径，以及相关社交媒体的更新账号。 ``` 这些信息说明了问题的存在、原因和处理进度，同时也为受到影响的用户提供了解决问题的途径。
标题： XWIKI-23438: XJetty allow accessing any application file through URL · xwiki/xwiki-platform@42fb063 · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：### 关键漏洞信息 - **漏洞描述**: - XWiki-23438: XJetty允许通过URL访问任何应用程序文件。 - XWiki-22840: Jetty EE10上的XML模式警告。 - **修改文件**: - `start_xwiki.sh` 脚本 - **修改内容**: - 第197行新增注释，解释Jetty不支持相对目录，因此需要解析绝对路径。 - 第198行设置`JETTY_BASE`为当前工作目录。 - 第201行和202行移除了旧的`JETTY_HOME`设置。 - 第202行和203行更新了`JETTY_HOME`路径为`$JETTY_BASE/jetty`。 - **提交信息**: - 提交者: tmortagne - 提交时间: 2022年8月18日 - 分支: master - 与XWiki-platform-17.10.0和XWiki-platform-17.8.0-rc-1相关联。
标题： Comparing 8b68d8a70b43f25391b3ee48477d7eb71b95cf4b...99a04a0e2143583f5154a43e02174155da7e8e10 · xwiki/xwiki-platform · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：从截图中可以获取到以下关于漏洞的关键信息： - 提交信息： - 提交ID：XWIKI-23438 - 提交描述：Jetty allow accessing any application file through URL - 提交者：tmortagne - 提交日期：2025年8月18日 - 代码改动摘要： - 文件路径：platform-tool-jetty/xwiki-platform-tool-jetty-resources/src/main/resources/start_xwiki.sh - 修改内容： - 修改了Jetty的配置，解决了Jetty允许通过URL访问任何应用程序文件的安全漏洞。 - 涉及行号：197-203 行添加了 `$JETTY_BASE=$PWD` 和 `JETTY_HOME="$JETTY_BASE/jetty"` 的设置。 - 修改了相关目录的创建和配置路径，加强了路径设置的绝对化，以防止相对路径带来的安全风险。 关键信息总结： - 安全漏洞类型：通过URL访问Jetty应用程序文件。 - 修复策略：通过绝对路径配置和结构化目录设置，限制Jetty的文件访问范围。
- https://nvd.nist.gov/vuln/detail/CVE-2025-55749
四、漏洞 CVE-2025-55749 的评论
暂无评论