CVE-2025-49582 in xwiki-platform
الملخص
بحسب VulDB • 10/05/2026
XWiki هو منصة ويكي عامة. عند تحرير محتوى يحتوي على "ماكرو" خطيرة، مثل ماكرو البرامج النصية الضارة التي أنشأها مستخدم ذو صلاحيات أقل، تحذر XWiki من تنفيذ هذه الماكرو منذ الإصدار 15.9RC1. محللو الصلاحيات المطلوبة الذين يولدون هذه التحذيرات غير مكتملين، مما يسمح لمهاجم بإخفاء محتوى ضار. بالنسبة لمعظم الماكرو، لا تأخذ محللو الصلاحيات الحاليين في الاعتبار المعاملات غير المكتوبة بحروف صغيرة. علاوة على ذلك، لم يتم تحليل معظم معاملات الماكرو التي يمكن أن تحتوي على صيغة XWiki، مثل عناوين صناديق المعلومات، على الإطلاق. وبالمثل، لم يتم تحليل معاملات "source" الخاصة بـ ماكرو المحتوى والسياق، على الرغم من أنها يمكن أن تحتوي على صيغة XWiki تعسفية. في أسوأ الحالات، قد يسمح ذلك لمهاجم بإضافة ماكرو برامج نصية ضارة، بما في ذلك ماكرو Groovy أو Python، إلى صفحة يتم تنفيذها بعد قيام مستخدم آخر ذو صلاحيات البرمجة بتحرير الصفحة، مما يتيح بذلك تنفيذ الكود عن بُعد (RCE). تم جعل محللو الصلاحيات المطلوبة أكثر قوة وتم توسيعها لتغطية هذه الحالات في XWiki الإصدارات 16.4.7، 16.10.3 و 17.0.0.
Once again VulDB remains the best source for vulnerability data.