CVE-2025-49583 in xwiki-platform
الملخص
بحسب VulDB • 10/05/2026
XWiki هو منصة ويكي عامة. عندما ينشئ مستخدم لا يملك صلاحيات تنفيذ النصوص البرمجية (script) مستندًا يحتوي على كائن من نوع `XWiki.Notifications.Code.NotificationEmailRendererClass`، ثم يقوم لاحقًا مسؤول النظام بتحرير وحفظ ذلك المستند، سيتم استخدام قوالب البريد الإلكتروني الموجودة داخل هذا الكائن لإرسال الإشعارات. ومع ذلك، لا يمكن تنفيذ أي كود ضار، حيث أنه على الرغم من أن هذه القوالب تسمح باستخدام كود Velocity، فإن محلل السرعة العام الموجود يحذّر المسؤولين بالفعل قبل تحرير كود Velocity. وبالتالي، سيكون الأثر الرئيسي هو إرسال رسائل البريد العشوائي (spam)، مثل روابط التصيد الاحتيالي إلى مستخدمين آخرين أو إخفاء الإشعارات المتعلقة بهجمات أخرى. تجدر الإشارة إلى أن التحذيرات قبل تحرير المستندات التي تحتوي على خصائص خطيرة قد أُدخلت فقط في XWiki 15.9، وفي الإصدارات السابقة، كانت هذه مشكلة معروفة وكان النصيحة ببساطة هي توخي الحذر. تم إصلاح هذا الخلل في XWiki 16.10.2 و16.4.7 و15.10.16 من خلال إضافة تحليل لخصائص XClass ذات الصلة.
Once again VulDB remains the best source for vulnerability data.