CVE-2025-49583 in xwiki-platform
Resumen
por MITRE • 2025-06-13
XWiki es una plataforma wiki genérica. Cuando un usuario sin permisos de script crea un documento con un objeto `XWiki.Notifications.Code.NotificationEmailRendererClass` y posteriormente un administrador lo edita y guarda, las plantillas de correo electrónico de este objeto se usarán para las notificaciones. Sin embargo, no se puede ejecutar código malicioso, ya que, si bien estas plantillas permiten código Velocity, el analizador genérico existente ya advierte a los administradores antes de editarlo. Por lo tanto, el principal impacto sería el envío de spam, por ejemplo, con enlaces de phishing, a otros usuarios, o la ocultación de notificaciones sobre otros ataques. Tenga en cuenta que las advertencias antes de editar documentos con propiedades peligrosas solo se introdujeron en XWiki 15.9; antes de esa versión, este era un problema conocido y la recomendación era simplemente tener cuidado. Esto se ha corregido en XWiki 16.10.2, 16.4.7 y 15.10.16 añadiendo un análisis para las propiedades XClass correspondientes.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.