CVE-2025-51991
Təsvir
XWiki-nin 17.3.0 versiyadakı daxil olmaqla bütün versiyaları Administrasiya interfeysində, xüsusilə Global Preferences Presentation bölməsinin HTTP Meta Info sahəsində Server-Side Template Injection (SSTI) zəifliyinə malikdir. Autentifikasiyadan keçmiş administrator düzgün yoxlama və ya sandbox tətbiqi olmadan server tərəfində render edilən xüsusi hazırlanmış Apache Velocity şablon kodu inyeksiya edə bilər. Bu, ixtiyari şablon məntiqinin icrasına imkan verir ki, bu da daxili server məlumatlarının ifşa olmasına və ya müəyyən konfiqurasiyalarda uzaqdan kodun icrası və ya həssas məlumatların sızması kimi daha geniş istismarlara səbəb ola bilər. Zəiflik, istifadəçi tərəfindən təmin edilən konfiqurasiya sahələrində dinamik şablon renderinin yanlış idarə olunmasından qaynaqlanır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xwiki xwiki | v ≤ 17.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.