CVE-2025-53837 in Rendering
Zusammenfassung
von VulDB • 18.09.2026
XWiki Rendering ist ein generisches Renderingsystem, das textbasierte Eingaben in einer bestimmten Syntax (Wikitext, HTML usw.) in eine andere Syntax (XHTML usw.) umwandelt. Vor den Versionen 14.10.2 und 15.0 RC1 kann jeder Benutzer, der sein eigenes Benutzerprofil oder ein anderes Dokument bearbeiten kann, beliebige Skript-Makros ausführen, einschließlich Groovy- und Python-Makros, die Remote Code Execution (RCE) ermöglichen, darunter uneingeschränkten Lese- und Schreibzugriff auf alle Wiki-Inhalte. Der Grund dafür ist, dass das Rendering-Ergebnis als Inhalt von HTML-Makros ohne weitere Maskierung eingefügt wird; dadurch ist es möglich, das umgebende HTML-Makro zu schließen und Skript-Makros einzufügen, die mit Programmierrechten ausgeführt werden. Dies wurde in XWiki 14.10.2 und 15.0 RC1 behoben, indem sichergestellt wurde, dass Rendering-Ergebnisse das umgebende HTML-Makro nicht mehr schließen können. Ein möglicher Workaround ist verfügbar. Grundsätzlich besteht die Möglichkeit, an allen Stellen, an denen Rendering-Ergebnisse in Wiki-Dokumenten verwendet werden, Maskierungen hinzuzufügen; derzeit gibt es jedoch keine Liste dieser Stellen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.