CVE-2025-53836
Açıklama
XWiki Rendering, belirli bir sözdizimindeki (wiki sözdizimi, HTML vb.) metin girişini başka bir sözdizimine (XHTML vb.) dönüştüren genel bir işleme sistemidir. 4.2-milestone-1 sürümüyle başlayıp 13.10.11, 14.4.7 ve 14.10 sürümlerinden önceki versiyonlarda, varsayılan makro içerik ayrıştırıcısı, iç içe geçmiş makroları yürütürken dönüşüm bağlamının kısıtlı özniteliğini korumamaktadır. Bu durum, normalde kısıtlı modda yasak olan makroların, özellikle de script makrolarının çalıştırılmasına izin verir. XWiki ile birlikte gelen cache ve chart makroları bu savunmasız özelliği kullanmaktadır. Bu sorun XWiki 13.10.11, 14.4.7 ve 14.10 sürümlerinde düzeltilmiştir. Bu açığın istismar edilmesini önlemek için, yamalanmış bir sürüme yükseltme yapılana kadar güvenilmeyen kullanıcılar için yorumlar devre dışı bırakılabilir. Yorumlar devre dışı bırakılsa bile, düzenleme haklarına sahip kullanıcıların nesne düzenleyici aracılığıyla hala yorum ekleyebileceği unutulmamalıdır.
Nasıl düzeltilir
- xwiki xwiki13.10.11, 14.4.7, 14.10 ya da sonraki bir sürüm
- org.xwiki.rendering:xwiki-rendering-transformation-macro13.10.11, 14.4.7, 14.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki | 4.3 ≤ v < 13.10.11, 14.0 ≤ v < 14.4.7, 14.5 ≤ v < 14.10, 4.2 | 13.10.11, 14.4.7, 14.10 |
| org.xwiki.rendering:xwiki-rendering-transformation-macroMaven | 4.2-milestone-1 ≤ v < 13.10.11, 14.0 ≤ v < 14.4.7, 14.5 ≤ v < 14.10 | 13.10.11, 14.4.7, 14.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.