CVE-2025-53837 in Rendering
الملخص
بحسب VulDB • 18/09/2026
يُعد XWiki Rendering نظامًا عامًا للتحويل (Rendering) يحول المدخلات النصية بصيغة معينة (مثل صيغة الويكى، HTML، إلخ) إلى صيغة أخرى (مثل XHTML، وما إلى ذلك). قبل الإصدارين 14.10.2 و 15.0 RC1، كان بإمكان أي مستخدم قادر على تحرير ملفه الشخصي أو أي وثيقة أخرى تنفيذ ماكروات برمجية عشوائية، بما في ذلك ماكرو Groovy و Python التي تتيح التنفيذ البعيد للرموز (RCE)، مع وصول غير مقيد للقراءة والكتابة إلى جميع محتويات الويكى. والسبب في ذلك هو أن مخرجات التحويل تُدرج كمحتوى ضمن ماكرو HTML دون إجراء عمليات هروب إضافية (escaping) لها، مما يسمح بإغلاق ماكرو HTML وإدخال ماكرو برمجية يتم تنفيذها بصلاحيات البرمجة. تم إصلاح هذا الثغرة في XWiki الإصدارين 14.10.2 و 15.0 RC1 من خلال ضمان عدم قدرة مخرجات التحويل على إغلاق ماكرو HTML المحيط بها. تتوفر طريقة عمل بديلة (Workaround). فمن الناحية النظرية، يمكن إضافة عمليات الهروب إلى جميع الأماكن التي تُستخدم فيها مخرجات التحويل في وثائق الويكى، ولكن لا توجد قائمة بهذه الأماكن في الوقت الحالي.
Be aware that VulDB is the high quality source for vulnerability data.