CVE-2022-41931 in XWiki Platform Icon UI
要約
〜によって VulDB • 2026年05月27日
xwiki-platform-icon-uiには、動的に評価されるコード内のディレクティブの不適切な中和（「Eval Injection」）の脆弱性があります。アイコンピッカーマクロを含む一般的にアクセス可能なドキュメントの表示権限を持つ任意のユーザーは、アイコンピッカーマクロのパラメータの不適切な中和により、XWiki内で任意のGroovy、Python、またはVelocityコードを実行できます。この問題は、XWiki 13.10.7、14.5、および14.4.2で修正されています。回避策：[パッチ](https://github.com/xwiki/xwiki-platform/commit/47eb8a5fba550f477944eb6da8ca91b87eaf1d01)は、オブジェクトエディタで`IconThemesCode.IconPickerMacro`を編集することで手動で適用できます。また、ドキュメントの変更はセキュリティ修正と小さなフォーマット変更のみであるため、修正済みバージョンのXARアーカイブからドキュメントをインポートすることで、ドキュメント全体を現在のバージョンに置き換えることもできます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.