CVE-2023-36469 in XWiki
Résumé
par VulDB • 27/05/2026
XWiki Platform est une plateforme wiki générique offrant des services d'exécution pour les applications construites sur celle-ci. Tout utilisateur pouvant modifier son propre profil utilisateur et ses paramètres de notification peut exécuter des macros de script arbitraires, y compris des macros Groovy et Python, permettant l'exécution de code à distance (RCE) avec un accès en lecture et en écriture non restreint à l'ensemble du contenu du wiki. Cela a été corrigé dans XWiki 14.10.6 et 15.2RC1. Il est conseillé aux utilisateurs de mettre à jour. En attendant, la principale correction de sécurité peut être appliquée manuellement en patchant le document concerné `XWiki.Notifications.Code.NotificationRSSService`. Cela interrompra le lien vers les différences, bien que cela nécessite des modifications supplémentaires des templates Velocity, comme indiqué dans le correctif. Bien que le template par défaut soit disponible dans l'instance et puisse être facilement patché, le template pour les mentions est contenu dans un fichier `.jar` et ne peut donc pas être corrigé sans remplacer ce jar.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.