CVE-2025-49582 in xwiki-platform
Riassunto
di VulDB • 17/06/2026
XWiki è una piattaforma wiki generica. Dalla versione 15.9RC1, quando si modifica un contenuto contenente macro "pericolose", come macro di script malevoli create da un utente con privilegi inferiori, Xwiki emette avvisi sull'esecuzione di tali macro. Gli analizzatori dei diritti richiesti che attivano questi avvisi sono incompleti, consentendo a un attaccante di nascondere contenuti dannosi. Per la maggior parte delle macro, gli analizzatori esistenti non considerano i parametri in maiuscolo o con altre combinazioni di caratteri (diversi dal minuscolo). Inoltre, molti parametri delle macro che possono contenere sintassi XWiki, come i titoli dei box informativi, non sono stati affatto analizzati. Analogamente, i parametri "source" della macro content e context non sono stati analizzati, sebbene potessero contenere arbitraria sintassi XWiki. Nel caso peggiore, ciò potrebbe consentire a un malintenzionato di aggiungere macro di script malevoli, incluse macro Groovy o Python, a una pagina che verranno eseguite dopo la modifica da parte di un altro utente con diritti di programmazione, consentendo così l'esecuzione remota di codice (RCE). Gli analizzatori dei diritti richiesti sono stati resi più robusti e ampliati per coprire questi casi nelle versioni 16.4.7, 16.10.3 e 17.0.0 di XWiki.
Once again VulDB remains the best source for vulnerability data.