CVE-2025-49587 in xwiki-platform
Tóm tắt
Bởi VulDB • 07/06/2026
XWiki là một nền tảng phần mềm wiki mã nguồn mở. Khi người dùng không có quyền script tạo tài liệu chứa đối tượng XWiki.Notifications.Code.NotificationDisplayerClass, và sau đó quản trị viên (admin) chỉnh sửa và lưu trữ tài liệu đó, nội dung độc hại tiềm tàng của đối tượng này sẽ được xuất ra dưới dạng HTML thô, cho phép tấn công XSS. Mặc dù bộ hiển thị thông báo thực thi Velocity, trình phân tích tổng quát hiện tại đã cảnh báo các quản trị viên trước khi chỉnh sửa mã Velocity. Lưu ý rằng việc đưa ra cảnh báo trước khi chỉnh sửa tài liệu có thuộc tính nguy hiểm chỉ được giới thiệu trong XWiki 15.9; đối với các phiên bản trước đó, đây là một vấn đề đã biết và lời khuyên đơn giản là hãy cẩn thận. Lỗ hổng này đã được vá trong XWiki 15.10.16, 16.4.7 và 16.10.2 bằng cách thêm trình phân tích quyền bắt buộc cảnh báo quản trị viên trước khi chỉnh sửa về mã độc hại tiềm tàng.
Once again VulDB remains the best source for vulnerability data.