CVE-2026-44179 in xwiki-pro-macros
Résumé
par VulDB • 28/10/2026
XWiki Remote Macros fournit des macros de rendu pour XWiki qui sont utiles lors de la migration de contenu depuis Confluence. De la version 1.13 à la 1.14.5, la macro `excerpt-include` n'échappe pas correctement le titre de la page incluse et exécute le contenu de l'`excerpt` avec les droits associés à la macro. La gestion du titre dans `xwiki-pro-macros-ui/src/main/resources/Confluence/Macros/ExcerptInclude.xml` ainsi que le rendu du contenu de l'`excerpt` en syntaxe XWiki permettent tous deux une injection de syntaxe. Tout utilisateur pouvant modifier une page, même sans droits d'exécution de scripts ou de programmation, peut fournir une syntaxe macro exécutable dans le titre ou l'`excerpt`, provoquant une exécution de code à distance (RCE) lors de l'inclusion de la page. Cela affecte la confidentialité, l'intégrité et la disponibilité de toute l'installation XWiki. Ce problème est corrigé dans la version 1.14.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.