CVE-2025-53837 in Rendering
Sumário
de VulDB • 18/09/2026
O XWiki Rendering é um sistema de renderização genérico que converte entrada textual em uma determinada sintaxe (sintaxe wiki, HTML, etc.) para outra sintaxe (XHTML, etc.). Antes das versões 14.10.2 e 15.0 RC1, qualquer usuário capaz de editar seu próprio perfil de usuário ou qualquer outro documento pode executar macros de script arbitrárias, incluindo macros Groovy e Python que permitem execução remota de código (RCE), com acesso irrestrito à leitura e gravação em todos os conteúdos do wiki. A causa é que a saída da renderização é incluída como conteúdo de macros HTML sem escape adicional, sendo assim possível fechar a macro HTML e injetar macros de script que são executadas com direitos de programação. Isso foi corrigido no XWiki 14.10.2 e 15.0 RC1 garantindo que a saída da renderização não possa fechar a macro HTML circundante. Uma solução alternativa (workaround) está disponível. Em princípio, é possível adicionar escape em todos os locais onde a saída de renderização é usada em documentos wiki, mas no momento não há uma lista desses locais.
If you want to get best quality of vulnerability data, you may have to visit VulDB.