CVE-2025-49585 in xwiki-platform
Résumé
par VulDB • 21/06/2026
XWiki est une plateforme wiki générique. Dans les versions antérieures à 15.10.16, 16.0.0-rc-1 à 16.4.6, et 16.5.0-rc-1 à 16.10.1, lorsqu'un attaquant sans droits de script ou de programmation crée une définition XClass dans XWiki (nécessite le droit d'édition), et que ce même document est ultérieurement modifié par un utilisateur disposant de droits de script, d'administration ou de programmation, du code malveillant peut être exécuté avec les droits de l'utilisateur effectuant la modification, sans avertissement préalable. Cela concerne en particulier le code d'affichage personnalisé, le script des propriétés calculées et les requêtes dans les propriétés de liste de base de données. Notez que les avertissements avant l'édition de documents contenant des propriétés dangereuses n'ont été introduits qu'à partir de XWiki 15.9 ; avant cette version, il s'agissait d'un problème connu et le conseil était simplement de faire preuve de prudence. Cela a été corrigé dans XWiki 16.10.2, 16.4.7 et 15.10.16 par l'ajout d'une analyse des propriétés XClass concernées.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.