[CVE-2026-28814] Arbitrary Wiki Markup rendering due to lack of authentication

[Juan Pablo Santos Rodríguez <ju...@apache.org>]

Severity
Critical

Vendor
The Apache Software Foundation

Versions Affected
Apache JSPWiki up to 2.12.3

Description
Arbitrary Wiki Markup rendering due to lack of authentication in
Apache JSPWiki allows attacker to obtain sensitive data stored in
JSPWiki variables.

Mitigation
Apache JSPWiki users should upgrade to 2.12.4 or later.

Credit
The issue was discovered by Miguel Regala (Fisher) - Hadrian.io


References
https://jspwiki-wiki.apache.org/Wiki.jsp?page=CVE-2026-28814
https://www.cve.org/CVERecord?id=CVE-2026-28814

Re: Apache JSPWiki 3.0?

[Juan Pablo Santos Rodríguez <ju...@gmail.com>]

Hi Ulrich! I think master works as expected, or at least works enough, so
yes 3.0 (finally) should be next stop.

I'm currently on vacation so can't grab my pc until Thursday. @team: how
many of you are available for voting / releasing / testing these coming
weeks? I can drive the release for the next couple of weeks if needed, and
then I'd be available on september.


Best regards,
juan pablo

El lun, 3 ago 2026, 9:51, Ulrich Everling, IPI3 <
ulrich.everling@schwaebisch-hall.de> escribió:

> Good morning,
>
> there have been several CVE's for Apache JSPWiki 2.12.*
> Will there be a forthcoming version 3.0 ?
>
> Best regards
> Ulrich
> ________________________________
> Bausparkasse Schwäbisch Hall AG
> Bausparkasse der Volksbanken und Raiffeisenbanken
> Crailsheimer Straße 52
> 74523 Schwäbisch Hall
> Tel.: +49 791 46-4646
> Fax: +49 791 46-2628
> https://www.schwaebisch-hall.de
>
> Vorstand: Mike Kammann (Vorsitzender), Kristin Seyboth, Dr. Mario Thaten,
> Katharina Thomas
> Aufsichtsratsvorsitzender: Dr. Cornelius Riese
> Registergericht: Amtsgericht Stuttgart HRB 570105
> USt-IdNr.: DE146782527
> ________________________________
> Für den wichtigsten Ort der Welt – mit den Heimatexperten von Schwäbisch
> Hall.
> https://www.schwaebisch-hall.de/unternehmen/unternehmensportraet/marke.html
>
> Folgen Sie uns auf: Facebook<
> https://www.facebook.com/bausparkasseschwaebischhall>, Instagram<
> https://www.instagram.com/bausparkasseschwaebischhall/>, Linkedin<
> https://www.linkedin.com/company/bausparkasse-schwabisch-hall> und
> YouTube<https://www.youtube.com/user/fuchsblog>
>
> Unsere Umwelt liegt uns am Herzen. Bitte überlegen Sie, ob Sie diese
> E-Mail ausdrucken müssen.
>

Apache JSPWiki 3.0?

["Ulrich Everling, IPI3" <ul...@schwaebisch-hall.de>]

Good morning,

there have been several CVE's for Apache JSPWiki 2.12.*
Will there be a forthcoming version 3.0 ?

Best regards
Ulrich
________________________________
Bausparkasse Schwäbisch Hall AG
Bausparkasse der Volksbanken und Raiffeisenbanken
Crailsheimer Straße 52
74523 Schwäbisch Hall
Tel.: +49 791 46-4646
Fax: +49 791 46-2628
https://www.schwaebisch-hall.de

Vorstand: Mike Kammann (Vorsitzender), Kristin Seyboth, Dr. Mario Thaten, Katharina Thomas
Aufsichtsratsvorsitzender: Dr. Cornelius Riese
Registergericht: Amtsgericht Stuttgart HRB 570105
USt-IdNr.: DE146782527
________________________________
Für den wichtigsten Ort der Welt – mit den Heimatexperten von Schwäbisch Hall.
https://www.schwaebisch-hall.de/unternehmen/unternehmensportraet/marke.html

Folgen Sie uns auf: Facebook<https://www.facebook.com/bausparkasseschwaebischhall>, Instagram<https://www.instagram.com/bausparkasseschwaebischhall/>, Linkedin<https://www.linkedin.com/company/bausparkasse-schwabisch-hall> und YouTube<https://www.youtube.com/user/fuchsblog>

Unsere Umwelt liegt uns am Herzen. Bitte überlegen Sie, ob Sie diese E-Mail ausdrucken müssen.