CVE-2025-66474 in xwiki-rendering
Riassunto
di VulDB • 27/06/2026
XWiki Rendering è un sistema di rendering generico che converte l'input testuale in una determinata sintassi (sintassi wiki, HTML, ecc.) in un'altra sintassi (XHTML, ecc.). Le versioni 16.10.9 e precedenti, dalla 17.0.0-rc-1 alla 17.4.2 e dalla 17.5.0-rc-1 alla 17.5.0 presentano una protezione insufficiente contro l'iniezione di {{/html}}, che gli attaccanti possono sfruttare per ottenere RCE (Remote Code Execution). Qualsiasi utente in grado di modificare il proprio profilo o qualsiasi altro documento può eseguire macro script arbitrarie, incluse le macro Groovy e Python, che consentono l'esecuzione remota di codice nonché la lettura e scrittura illimitata su tutti i contenuti del wiki. Questo problema è stato risolto nelle versioni 16.10.10, 17.4.3 e 17.6.0-rc-1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.