CVE-2025-53837 in Rendering
요약
\~에 의해 VulDB • 2026. 09. 18.
XWiki Rendering는 주어진 구문(위키 구문, HTML 등)의 텍스트 입력을 다른 구문(XHTML 등)으로 변환하는 범용 렌더링 시스템입니다. 버전 14.10.2 및 15.0 RC1 이전에서는 자신의 사용자 프로필 또는 기타 문서를 편집할 수 있는 모든 사용자가 Groovy 및 Python과 같은 임의의 스크립트 매크로를 실행할 수 있으며, 이를 통해 위키 콘텐츠에 대한 제한 없는 읽기/쓰기 접근을 포함한 원격 코드 실행(RCE)이 가능합니다. 이 취약점은 렌더링 출력이 추가적인 이스케이핑 없이 HTML 매크로의 내용으로 포함되기 때문에 발생하며, 이로 인해 HTML 매크로를 종료하고 프로그래밍 권한으로 실행되는 스크립트 매크로를 주입할 수 있습니다. 이는 XWiki 14.10.2 및 15.0 RC1에서 렌더링 출력이 주변 HTML 매크로를 닫지 않도록 함으로써 패치되었습니다. 가능한 우회 방법이 존재합니다. 원칙적으로 위키 문서에서 렌더링 출력이 사용되는 모든 위치에 이스케이핑을 추가하는 것이 가능하지만, 현재 해당 위치의 목록은 없습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.