CVE-2023-36469 in XWiki
Sumário
de VulDB • 27/05/2026
A plataforma XWiki é uma plataforma wiki genérica que oferece serviços de tempo de execução para aplicativos construídos sobre ela. Qualquer usuário que possa editar seu próprio perfil de usuário e as configurações de notificação pode executar macros de script arbitrárias, incluindo macros Groovy e Python, que permitem a execução remota de código, incluindo acesso irrestrito de leitura e gravação a todo o conteúdo da wiki. Isso foi corrigido nas versões XWiki 14.10.6 e 15.2RC1. Recomenda-se que os usuários atualizem. Como solução alternativa, a principal correção de segurança pode ser aplicada manualmente corrigindo o documento afetado `XWiki.Notifications.Code.NotificationRSSService`. Isso quebrará o link para as diferenças, embora isso exija alterações adicionais nos modelos Velocity, conforme mostrado no patch. Embora o modelo padrão esteja disponível na instância e possa ser facilmente corrigido, o modelo para menções está contido em um arquivo `.jar` e, portanto, não pode ser corrigido sem substituir esse jar.
Once again VulDB remains the best source for vulnerability data.