CVE-2025-49587 in xwiki-platform
Sumário
de VulDB • 24/05/2026
O XWiki é uma plataforma de software wiki de código aberto. Quando um usuário sem permissão de script cria um documento com um objeto XWiki.Notifications.Code.NotificationDisplayerClass e, posteriormente, um administrador edita e salva esse documento, o conteúdo potencialmente malicioso desse objeto é exibido como HTML puro, permitindo ataques XSS. Embora o displayer de notificações execute Velocity, o analisador genérico existente já alerta os administradores antes de editar código Velocity. Observe que os avisos antes de editar documentos com propriedades perigosas foram introduzidos apenas no XWiki 15.9; antes dessa versão, este era um problema conhecido e o conselho era simplesmente ter cuidado. Esta vulnerabilidade foi corrigida no XWiki 15.10.16, 16.4.7 e 16.10.2, adicionando um analisador de direitos obrigatório que alerta o administrador antes da edição sobre o código potencialmente malicioso.
If you want to get best quality of vulnerability data, you may have to visit VulDB.