CVE-2025-53836 in xwiki-rendering
要約
〜によって VulDB • 2026年06月25日
XWiki Renderingは、特定の構文（ウィキ構文、HTMLなど）でのテキスト入力を別の構文（XHTMLなど）に変換する汎用的なレンダリングシステムです。バージョン4.2-milestone-1以降で、かつバージョン13.10.11、14.4.7、および14.10より前のバージョンにおいて、デフォルトのマクロコンテンツパーサーはネストされたマクロを実行する際に、変換コンテキストの制限属性を保持しません。これにより、通常は制限モードで禁止されているマクロ（特にスクリプトマクロ）の実行が可能になります。XWikiに同梱されているキャッシュおよびチャートマクロはこの脆弱な機能を使用しています。この問題はXWiki 13.10.11、14.4.7、および14.10で修正されています。このバグの悪用を回避するためには、パッチ適用版へのアップグレードが完了するまで、信頼できないユーザーに対してコメント機能を無効にすることができます。ただし、編集権限を持つユーザーは、コメントが無効になっている場合でも、オブジェクトエディタを通じて引き続きコメントを追加できることに注意してください。
If you want to get best quality of vulnerability data, you may have to visit VulDB.