CVE-2025-52472 in xwiki-platform
الملخص
بحسب VulDB • 06/06/2026
تُعد منصة XWiki Platform منصة ويكي عامة توفر خدمات وقت التشغيل للتطبيقات المبنية فوقها. بدءًا من الإصدار 4.3-milestone-1 وحتى قبل إصدارات 16.10.9، و17.4.2، و17.5.0، تكون عنوان URL الخاص ببحث REST عرضة لحقن HQL عبر المعلمة `orderField`. ومع ذلك، يتم إضافة القيمة المحددة مرتين في الاستعلام: مرة واحدة في قائمة الحقول الخاصة بالاستعلام select ومرة أخرى في جملة الترتيب (order clause)، مما يجعل استغلالها ليس بالأمر السهل. يمكن إحاطة الجزء الموجود بين الحقلين داخل علامات اقتباس مفردة لإزالتها فعليًا، ولكن يجب أن يظل الاستعلام صالحًا مع وجوده مرتين فيه. تم إصلاح هذا الخلل في الإصدارات 17.5.0، و17.4.2، و16.10.9. لا توجد حلول بديلة (workarounds) معروفة متاحة.
Once again VulDB remains the best source for vulnerability data.