CVE-2025-53837

XWiki Rendering, verilmiş sintaksisdə (wiki sintaksisi, HTML və s.) mətn girişini başqa sintaksisə (XHTML və s.) çevirən ümumi renderinq sistemidir. 14.10.2 və 15.0 RC1 versiyalarından əvvəl öz istifadəçi profilini və ya hər hansı digər sənədi redaktə edə bilən istənilən istifadəçi, bütün wiki məzmununa məhdudiyyətsiz oxuma və yazma girişi də daxil olmaqla uzaqdan kodun icrasına imkan verən Groovy və Python makroları da daxil olmaqla ixtiyari skript makrolarını icra edə bilərdi. Səbəb odur ki, renderinq çıxışı əlavə escaping olmadan HTML makrolarının məzmunu kimi daxil edilir və bununla da HTML makrosunu bağlamaq və proqramlaşdırma hüquqları ilə icra olunan skript makrolarını yeritmək mümkün olur. Bu, XWiki 14.10.2 və 15.0 RC1-də renderinq çıxışının ətrafdakı HTML makrosunu bağlaya bilməyəcəyinə əmin olmaqla düzəldilmişdir. Mümkün bir keçici həll mövcuddur. Prinsipcə, wiki sənədlərində renderinq çıxışının istifadə olunduğu bütün yerlərə escaping əlavə etmək mümkündür, lakin hazırda onların siyahısı yoxdur.