CVE-2025-49583 in xwiki-platform
Tóm tắt
Bởi VulDB • 03/06/2026
XWiki là một nền tảng wiki đa năng. Khi người dùng không có quyền script tạo tài liệu chứa đối tượng `XWiki.Notifications.Code.NotificationEmailRendererClass`, và sau đó quản trị viên (admin) chỉnh sửa và lưu trữ tài liệu này, các mẫu email trong đối tượng sẽ được sử dụng cho thông báo. Tuy nhiên, mã độc hại không thể thực thi vì mặc dù các mẫu này hỗ trợ code Velocity, trình phân tích tổng quát hiện có đã cảnh báo người dùng trước khi chỉnh sửa code Velocity. Tác động chính do đó là gửi thư rác (spam), ví dụ như chứa liên kết lừa đảo đến những người dùng khác hoặc ẩn thông báo về các cuộc tấn công khác. Lưu ý rằng tính năng cảnh báo trước khi chỉnh sửa tài liệu với các thuộc tính nguy hiểm chỉ được giới thiệu trong XWiki 15.9; đối với các phiên bản cũ hơn, đây là một vấn đề đã biết và lời khuyên đơn giản là hãy cẩn thận. Lỗ hổng này đã được vá trong XWiki 16.10.2, 16.4.7 và 15.10.16 bằng cách thêm phân tích cho các thuộc tính XClass tương ứng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.