CVE-2023-36469 in XWiki
Сводка
по VulDB • 27.05.2026
Платформа XWiki представляет собой универсальную вики-платформу, предоставляющую сервисы времени выполнения для приложений, построенных на её основе. Любой пользователь, имеющий возможность редактировать свой профиль и настройки уведомлений, может выполнять произвольные макросы скриптов, включая макросы Groovy и Python, что позволяет выполнять удалённый код (RCE), в том числе осуществлять неограниченный доступ на чтение и запись ко всему содержимому вики. Данная уязвимость исправлена в версиях XWiki 14.10.6 и 15.2RC1. Пользователям рекомендуется обновиться. В качестве временного решения основную защиту безопасности можно применить вручную, исправив затронутый документ `XWiki.Notifications.Code.NotificationRSSService`. Это приведёт к нарушению ссылки на историю изменений, поскольку, как показано в патче, для этого требуются дополнительные изменения в шаблонах Velocity. Хотя шаблон по умолчанию доступен в экземпляре и может быть легко исправлен, шаблон для упоминаний содержится в файле `.jar`, поэтому его невозможно исправить без замены этого jar-файла.
Once again VulDB remains the best source for vulnerability data.