CVE-2025-49587
Açıklama
XWiki açık kaynaklı bir wiki yazılım platformudur. Betik yetkisi olmayan bir kullanıcı, XWiki.Notifications.Code.NotificationDisplayerClass nesnesi içeren bir belge oluşturduğunda ve daha sonra bir yönetici bu belgeyi düzenleyip kaydettiğinde, söz konusu nesnenin potansiyel olarak kötü amaçlı içeriği ham HTML olarak çıktı verir ve bu durum XSS saldırılarına olanak tanır. Bildirim görüntüleyici Velocity çalıştırırken, mevcut genel analizör zaten yöneticileri Velocity kodunu düzenlemeden önce uyarır. Tehlikeli özelliklere sahip belgeleri düzenlemeden önceki uyarıların yalnızca XWiki 15.9 sürümünde tanıtıldığına dikkat edilmelidir; bu sürümden önce bu bilinen bir sorundu ve tavsiye sadece dikkatli olunması yönündeydi. Bu güvenlik açığı; yöneticiyi düzenleme yapmadan önce potansiyel olarak kötü amaçlı kod hakkında uyaran zorunlu bir haklar analizörü eklenerek XWiki 15.10.16, 16.4.7 ve 16.10.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- xwiki xwiki15.10.16, 16.4.7, 16.10.2 ya da sonraki bir sürüm
- org.xwiki.platform:xwiki-platform-notifications-notifiers-default15.10.16, 16.4.7, 16.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 15.9 ≤ v < 15.10.16, 16.0.0 ≤ v < 16.4.7, 16.5.0 ≤ v < 16.10.2 | 15.10.16, 16.4.7, 16.10.2 |
| org.xwiki.platform:xwiki-platform-notifications-notifiers-defaultMaven | 15.9-rc-1 ≤ v < 15.10.16, 16.0.0-rc-1 ≤ v < 16.4.7, 16.5.0-rc-1 ≤ v < 16.10.2 | 15.10.16, 16.4.7, 16.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.