CVE-2025-49587 in xwiki-platform
Resumen
por MITRE • 2025-06-13
XWiki es una plataforma de software wiki de código abierto. Cuando un usuario sin permisos de script crea un documento con un objeto XWiki.Notifications.Code.NotificationDisplayerClass y posteriormente un administrador lo edita y lo guarda, el contenido posiblemente malicioso de dicho objeto se muestra como HTML sin formato, lo que permite ataques XSS. Mientras el visualizador de notificaciones ejecuta Velocity, el analizador genérico existente ya advierte a los administradores antes de editar el código de Velocity. Tenga en cuenta que las advertencias antes de editar documentos con propiedades peligrosas solo se introdujeron en XWiki 15.9; antes de esa versión, este era un problema conocido y la recomendación era simplemente tener cuidado. Esta vulnerabilidad se ha corregido en XWiki 15.10.16, 16.4.7 y 16.10.2 añadiendo un analizador de permisos requerido que advierte al administrador sobre el posible código malicioso antes de editar.
Once again VulDB remains the best source for vulnerability data.