CVE-2025-53837

XWiki Rendering, belirli bir sözdizimindeki (wiki sözdizimi, HTML vb.) metinsel girdiyi başka bir sözdizimine (XHTML vb.) dönüştüren genel bir işleme sistemidir. 14.10.2 ve 15.0 RC1 sürümlerinden önce, kendi kullanıcı profilini veya herhangi bir diğer belgeyi düzenleyebilen her kullanıcı; tüm wiki içeriklerine kısıtlamasız okuma ve yazma erişimi dahil olmak üzere uzaktan kod çalıştırmaya izin veren Groovy ve Python makroları da dahil olmak üzere rastgele betik makroları çalıştırabilir. Bunun nedeni, işleme çıktısının daha fazla kaçış karakteri eklenmeden HTML makrolarının içeriğine dahil edilmesidir ve bu nedenle HTML makrosunu kapatıp programlama haklarıyla yürütülen betik makroları enjekte etmek mümkündür. Bu durum, işleme çıktısının çevreleyen HTML makrosunu kapatamadığından emin olunarak XWiki 14.10.2 ve 15.0 RC1 sürümlerinde düzeltilmiştir. Olası bir geçici çözüm mevcuttur. Prensipte, işleme çıktısının wiki belgelerinde kullanıldığı tüm yerlere kaçış karakterleri eklemek mümkündür ancak şu an için bunların bir listesi bulunmamaktadır.