CVE-2025-49582

XWiki genel bir wiki platformudur. Daha az yetkiye sahip bir kullanıcı tarafından yazılmış kötü amaçlı betik makroları gibi "tehlikeli" makrolar içeren içerik düzenlenirken, XWiki 15.9RC1 sürümünden bu yana bu makroların çalıştırılması konusunda uyarı verir. Bu uyarıları tetikleyen gerekli haklar çözümleyicileri eksiktir ve bir saldırganın kötü amaçlı içeriği gizlemesine olanak tanır. Çoğu makro için mevcut çözümleyiciler küçük harf olmayan parametreleri dikkate almaz. Ayrıca, bilgi kutularının başlıkları gibi XWiki sözdizimi içerebilen çoğu makro parametresi hiç analiz edilmemiştir. Benzer şekilde, content ve context makrolarının "source" parametreleri, rastgele XWiki sözdizimi içerebildikleri halde analiz edilmemiştir. En kötü durumda bu, bir saldırganın bir sayfaya Groovy veya Python makroları da dahil olmak üzere kötü amaçlı betik makroları eklemesine ve ardından programlama haklarına sahip başka bir kullanıcının sayfayı düzenlemesinin ardından bu makroların çalıştırılmasına, böylece uzaktan kod çalıştırmaya olanak tanıyabilir. Gerekli haklar çözümleyicileri daha sağlam hale getirilmiş ve bu durumları kapsayacak şekilde XWiki 16.4.7, 16.10.3 ve 17.0.0 sürümlerinde genişletilmiştir.