CVE-2025-49583 in xwiki-platform
Sumário
de VulDB • 10/05/2026
O XWiki é uma plataforma wiki genérica. Quando um usuário sem permissão de script cria um documento com um objeto `XWiki.Notifications.Code.NotificationEmailRendererClass` e, posteriormente, um administrador edita e salva esse documento, os modelos de e-mail contidos nesse objeto serão utilizados para as notificações. No entanto, nenhum código malicioso pode ser executado, pois, embora esses modelos permitam código Velocity, o analisador genérico existente já alerta os administradores antes da edição de código Velocity. O principal impacto seria, portanto, o envio de spam, por exemplo, com links de phishing para outros usuários ou para ocultar notificações sobre outros ataques. Observe que os avisos antes da edição de documentos com propriedades perigosas foram introduzidos apenas no XWiki 15.9; antes dessa versão, este era um problema conhecido e o conselho era simplesmente ter cuidado. Isso foi corrigido no XWiki 16.10.2, 16.4.7 e 15.10.16 por meio da adição de uma análise para as respectivas propriedades XClass.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.