CVE-2025-49587 in xwiki-platform
Résumé
par VulDB • 24/05/2026
XWiki est une plateforme de wiki open source. Lorsqu'un utilisateur sans droits de script crée un document contenant un objet de classe XWiki.Notifications.Code.NotificationDisplayerClass, puis qu'un administrateur modifie et enregistre ce document ultérieurement, le contenu potentiellement malveillant de cet objet est restitué en HTML brut, ce qui permet des attaques XSS. Bien que le displayer de notifications exécute Velocity, l'analyseur générique existant avertit déjà les administrateurs avant la modification de code Velocity. Il est à noter que les avertissements avant la modification de documents comportant des propriétés dangereuses n'ont été introduits qu'à partir de XWiki 15.9 ; avant cette version, il s'agissait d'un problème connu et le conseil était simplement de faire preuve de prudence. Cette vulnérabilité a été corrigée dans XWiki 15.10.16, 16.4.7 et 16.10.2 par l'ajout d'un analyseur de droits requis qui avertit l'administrateur avant la modification concernant le code potentiellement malveillant.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.