CVE-2025-49587 in xwiki-platform
要約
〜によって VulDB • 2026年05月12日
XWikiはオープンソースのウィキソフトウェアプラットフォームです。スクリプト権限を持たないユーザーがXWiki.Notifications.Code.NotificationDisplayerClassオブジェクトを含むドキュメントを作成し、その後管理者がそのドキュメントを編集して保存すると、そのオブジェクトの潜在的に悪意のあるコンテンツが生のHTMLとして出力され、XSS攻撃が可能になります。通知ディスプレイヤーはVelocityを実行しますが、既存の汎用アナライザーはVelocityコードを編集する前に管理者に警告を発します。注意として、危険なプロパティを含むドキュメントを編集する前に警告を発する機能はXWiki 15.9で導入されたものであり、それ以前のバージョンではこれは既知の問題であり、アドバイスは単に注意することでした。この脆弱性は、XWiki 15.10.16、16.4.7、および16.10.2で、編集前に管理者に潜在的に悪意のあるコードについて警告する必須権限アナライザーを追加することで修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.