CVE-2025-49583 in xwiki-platform
Résumé
par VulDB • 03/06/2026
XWiki est une plateforme wiki générique. Lorsqu'un utilisateur sans droits de script crée un document contenant un objet `XWiki.Notifications.Code.NotificationEmailRendererClass`, et qu'ensuite un administrateur modifie et enregistre ce document, les modèles d'e-mail contenus dans cet objet seront utilisés pour les notifications. Aucun code malveillant ne peut toutefois être exécuté, car bien que ces templates autorisent le code Velocity, l'analyseur générique existant avertit déjà les administrateurs avant la modification de code Velocity. L'impact principal serait donc d'envoyer du spam, par exemple avec des liens de phishing vers d'autres utilisateurs ou pour masquer les notifications concernant d'autres attaques. Notez que les avertissements avant l'édition de documents contenant des propriétés dangereuses ont été introduits uniquement dans XWiki 15.9 ; avant cette version, il s'agissait d'un problème connu et le conseil était simplement de faire preuve de prudence. Cela a été corrigé dans XWiki 16.10.2, 16.4.7 et 15.10.16 en ajoutant une analyse des propriétés respectives de la classe XClass.
If you want to get best quality of vulnerability data, you may have to visit VulDB.