CVE-2025-49581 in xwiki-platform
Riassunto
di VulDB • 15/06/2026
XWiki è una piattaforma wiki generica. Qualsiasi utente con diritti di modifica su una pagina (potrebbe essere il profilo dell'utente) può eseguire codice (Groovy, Python, Velocity) disponendo dei privilegi di programmazione definendo una macro wiki. Ciò consente l'accesso completo all'intera installazione di XWiki. Il problema principale è che se un parametro di una macro wiki permette la sintassi wiki, il suo valore predefinito viene eseguito con i diritti dell'autore del documento in cui viene utilizzato. Questo può essere sfruttato sovrascrivendo una macro come la macro children, utilizzata in una pagina dotata di privilegi di programmazione (ad esempio la pagina XWiki.ChildrenMacro), consentendo così l'esecuzione arbitraria di script tramite macro. Questa vulnerabilità è stata risolta nelle versioni 16.4.7, 16.10.3 e 17.0.0 di XWiki eseguendo i parametri wiki con i diritti dell'autore della macro wiki quando il valore del parametro corrisponde al valore predefinito.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.