CVE-2025-66474

WysokieCVSS 8.8

Opublikowano: 10/12/2025(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.02%

Percentyl 62 - wyżej niż 62% wszystkich znanych CVE

Streszczenie

XWiki Rendering to uniwersalny system renderujący, który konwertuje tekst w danym formacie (wiki, HTML itp.) na inny format (XHTML itp.). Wersje 16.10.9 i poniżej, 17.0.0-rc-1 do 17.4.2 oraz 17.5.0-rc-1 do 17.5.0 mają niewystarczającą ochronę przed wstrzyknięciem {{/html}}, co atakujący mogą wykorzystać do zdalnego wykonania kodu (RCE). Każdy użytkownik mogący edytować własny profil lub inny dokument może wykonać dowolne makra skryptowe, w tym Groovy i Python, umożliwiające RCE oraz nieograniczony odczyt i zapis całej zawartości wiki.

Ocena ryzyka

Użytkownik z uprawnieniami edycji dokumentów może wykonać dowolny kod na serwerze, uzyskując pełny dostęp do zawartości wiki i systemu. Prowadzi to do poważnego naruszenia poufności, integralności i dostępności.

Rekomendacja

Zaktualizuj XWiki do wersji 16.10.10, 17.4.3 lub 17.6.0-rc-1. Ogranicz możliwość edycji dokumentów i profili do zaufanych użytkowników do czasu aktualizacji.

Inne podatności w XWiki Rendering

CVE-2025-53837Krytyczne
XWiki Rendering przed wersjami 14.10.2 i 15.0 RC1 umożliwia wykonanie dowolnych makr skryptowych, w tym Groovy i Python, przez użytkownika, który może edytować swój profil lub dowolny dokument. Wynik renderowania jest dołączany jako treść makra HTML bez dalszego eskejpowania, co pozwala zamknąć makro HTML i wstrzyknąć makra skryptowe z uprawnieniami programistycznymi.

Oryginalny opis (angielski, źródło NVD)

XWiki Rendering is a generic rendering system that converts textual input in a given syntax (wiki syntax, HTML, etc) into another syntax (XHTML, etc). Versions 16.10.9 and below, 17.0.0-rc-1 through 17.4.2 and 17.5.0-rc-1 through 17.5.0 have insufficient protection against {{/html}} injection, which attackers can exploit through RCE. Any user who can edit their own profile or any other document can execute arbitrary script macros, including Groovy and Python macros, which enable remote code execution as well as unrestricted read and write access to all wiki contents. This issue is fixed in versions 16.10.10, 17.4.3 and 17.6.0-rc-1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS