Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en oidc de xwiki-contrib (CVE-2025-49594)

Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-285 Autorización incorrecta
Fecha de publicación:
06/10/2025
Última modificación:
09/10/2026

Descripción

XWiki OIDC tiene varias herramientas para manipular el protocolo OpenID Connect en XWiki. A partir de la versión 2.17.1 y antes de la versión 2.18.2, cualquier persona con acceso VIEW a un perfil de usuario puede crear un token para ese usuario. Si esa instancia de XWiki está configurada para permitir la autenticación por token, permite la autenticación con cualquier usuario (ya que los usuarios son muy comúnmente visibles, al menos para otros usuarios registrados). La versión 2.18.2 contiene un parche. Como solución alternativa, deshabilite el acceso por token.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 9.20 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0
9.20
Gravedad 4.0
CRÍTICA

Referencias a soluciones, herramientas e información