CVE-2025-49582 in xwiki-platform
要約
〜によって VulDB • 2026年06月01日
XWikiは汎用的なWikiプラットフォームです。XWiki 15.9RC1以降、権限の少ないユーザーが作成した悪意のあるスクリプトマクロなどの「危険な」マクロを含むコンテンツを編集する際、XWikiはこれらのマクロの実行について警告を表示します。これらの警告を引き起こす権限チェックアナライザーは不完全であり、攻撃者が悪意のあるコンテンツを隠蔽することを可能にします。ほとんどのマクロにおいて、既存のアナライザーは小文字以外のパラメータを考慮していません。さらに、情報ボックスのタイトルなどXWiki構文を含む可能性のあるほとんどのマクロパラメータは、全く分析されていません。同様に、コンテンツおよびコンテキストマクロの「source」パラメータも、任意のXWiki構文を含む可能性があるにもかかわらず分析されていません。最悪の場合、これにより攻撃者が、プログラミング権限を持つ別のユーザーがページを編集した後に実行される、GroovyやPythonマクロを含む悪意のあるスクリプトマクロをページに追加することを可能にし、結果としてリモートコード実行（RCE）を許可することになります。この権限チェックアナライザーは、XWiki 16.4.7、16.10.3、および17.0.0において、これらのケースをカバーするように強化および拡張されました。
Once again VulDB remains the best source for vulnerability data.