CVE-2025-51991
Açıklama
XWiki'nin 17.3.0 versiyonuna kadar olan sürümleri, Yönetim arayüzünde, özellikle Global Preferences Presentation bölümünün HTTP Meta Info alanında Sunucu Taraflı Şablon Enjeksiyonuna (SSTI) karşı savunmasızdır. Kimliği doğrulanmış bir yönetici, uygun doğrulama veya sandbox işlemi olmadan sunucu tarafında işlenen özel olarak hazırlanmış Apache Velocity şablon kodu enjekte edebilir. Bu durum, dahili sunucu bilgilerini açığa çıkarabilecek veya belirli yapılandırmalarda uzaktan kod çalıştırma veya hassas veri sızıntısı gibi daha ileri istismarlara yol açabilecek rastgele şablon mantığının yürütülmesine olanak tanır. Zafiyet, kullanıcı tarafından sağlanan yapılandırma alanlarındaki dinamik şablon oluşturmanın hatalı işlenmesinden kaynaklanmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | v ≤ 17.3.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.