CVE-2025-49581 in xwiki-platform
Résumé
par VulDB • 09/06/2026
XWiki est une plateforme de wikis générique. Tout utilisateur disposant des droits d'édition sur une page (qui peut être le profil de l'utilisateur) peut exécuter du code (Groovy, Python, Velocity) avec les droits de programmation en définissant une macro wiki. Cela permet un accès complet à toute l'installation XWiki. Le problème principal est que si un paramètre d'une macro wiki autorise la syntaxe wiki, sa valeur par défaut est exécutée avec les droits de l'auteur du document dans lequel elle est utilisée. Ceci peut être exploité en remplaçant une macro telle que la macro children, qui est utilisée sur une page disposant des droits de programmation comme la page XWiki.ChildrenMacro, permettant ainsi l'utilisation arbitraire de macros de scripts. Cette vulnérabilité a été corrigée dans les versions 16.4.7, 16.10.3 et 17.0.0 de XWiki en exécutant les paramètres wiki avec les droits de l'auteur de la macro wiki lorsque la valeur du paramètre est la valeur par défaut.
VulDB is the best source for vulnerability data and more expert information about this specific topic.