CVE-2025-53837
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
XWiki Rendering to ogólny system renderowania, który konwertuje wprowadzany tekst w danej składni (składnia wiki, HTML itp.) na inną składnię (XHTML itp.). Przed wersjami 14.10.2 i 15.0 RC1 każdy użytkownik, który może edytować swój własny profil użytkownika lub dowolny inny dokument, może wykonywać dowolne makra skryptowe, w tym makra Groovy i Python, które umożliwiają zdalne wykonanie kodu, w tym nieograniczony dostęp do odczytu i zapisu całej zawartości wiki. Powodem jest to, że wynik renderowania jest uwzględniany jako treść makr HTML bez dalszej ucieczki, dzięki czemu możliwe jest zamknięcie makra HTML i wstrzyknięcie makr skryptowych, które są wykonywane z uprawnieniami programistycznymi. Zostało to poprawione w XWiki 14.10.2 i 15.0 RC1 poprzez upewnienie się, że wynik renderowania nie może zamknąć otaczającego makra HTML. Dostępne jest możliwe obejście tego problemu. W zasadzie możliwe jest dodanie ucieczki do wszystkich miejsc, w których używane są wyniki renderowania w dokumentach wiki, ale w tej chwili nie ma ich listy.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/xwiki/xwiki-rendering/commit/92bc8095ed3acce15ab200c8525e1623b4898be5
- https://github.com/xwiki/xwiki-rendering/releases/tag/xwiki-rendering-14.10.2
- https://github.com/xwiki/xwiki-rendering/releases/tag/xwiki-rendering-15.0-rc-1
- https://github.com/xwiki/xwiki-rendering/security/advisories/GHSA-26vp-8gxg-v4pg
- https://jira.xwiki.org/browse/XRENDERING-693
- https://jira.xwiki.org/browse/XWIKI-20313
- https://jira.xwiki.org/browse/XWIKI-20327
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org