XWiki Full Calendar Macro vulnerable a (SQL injection) a través de Calendar.JSONService

La inyección SQL en org.xwiki.contrib:macro-fullcalendar-pom representa un riesgo crítico para la seguridad de las aplicaciones XWiki que utilizan este componente. Un atacante puede explotar esta vulnerabilidad para extraer datos confidenciales de la base de datos, como nombres de usuario, contraseñas, información personal o datos de negocio. Además, la inyección SQL puede ser utilizada para ejecutar comandos arbitrarios en el servidor de la base de datos, comprometiendo la integridad y disponibilidad del sistema. La posibilidad de que usuarios invitados puedan explotar esta vulnerabilidad amplía significativamente el radio de impacto, ya que no requiere autenticación previa.

Organizations utilizing XWiki with the Macro FullCalendar component, particularly those with public-facing calendars or less restrictive access controls, are at risk. Shared hosting environments where multiple XWiki instances share the same database are also particularly vulnerable, as a compromise of one instance could potentially impact others.

• java / server:

ps -ef | grep -i fullcalendar

• java / server:

journalctl -u xwiki | grep -i "Calendar.JSONService"

• generic web:

curl -I <xwiki_url>/xwiki/bin/calendar/Calendar.JSONService

• generic web:

grep -r 'Calendar.JSONService' /var/log/apache2/access.log

1. 2026-01-09Disclosure

   disclosure

1. Reservado2025-11-17
2. Publicada2026-01-09
3. Modificada2026-02-03
4. EPSS actualizado2026-03-23

La solución principal para mitigar esta vulnerabilidad es actualizar el componente org.xwiki.contrib:macro-fullcalendar-pom a la versión 2.4.5 o superior, que incluye la corrección para la inyección SQL. Si la actualización no es posible de inmediato, se recomienda como solución alternativa eliminar la página Calendar.JSONService. Esta acción, aunque efectiva, puede afectar la funcionalidad del calendario. Se debe monitorear el acceso a la base de datos y configurar reglas en firewalls o sistemas de detección de intrusiones (IDS) para detectar patrones de inyección SQL. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que no se puede acceder a la información de la base de datos a través de la página Calendar.JSONService.