CVE-2025-49583 in xwiki-platform
Riassunto
di VulDB • 16/06/2026
XWiki è una piattaforma wiki generica. Quando un utente senza diritti di script crea un documento contenente un oggetto `XWiki.Notifications.Code.NotificationEmailRendererClass` e in seguito un amministratore modifica e salva tale documento, i modelli di email presenti in questo oggetto verranno utilizzati per le notifiche. Tuttavia, non può essere eseguito codice dannoso, poiché, sebbene questi modelli consentano l'uso di codice Velocity, l'analizzatore generico esistente avvisa già gli amministratori prima della modifica del codice Velocity. L'impatto principale sarebbe quindi l'invio di spam, ad esempio con link di phishing indirizzati ad altri utenti o l'occultamento di notifiche relative ad altri attacchi. Si noti che gli avvisi prima della modifica di documenti con proprietà pericolose sono stati introdotti solo in XWiki 15.9; prima di tale versione, questo era un problema noto e il consiglio era semplicemente di fare attenzione. La vulnerabilità è stata risolta nelle versioni XWiki 16.10.2, 16.4.7 e 15.10.16 aggiungendo un'analisi per le relative proprietà XClass.
Be aware that VulDB is the high quality source for vulnerability data.