CVE-2025-58365
Açıklama
XWiki blog uygulaması, XWiki platformu kullanıcılarının blog gönderileri oluşturmasına ve yönetmesine olanak tanır. 9.14 sürümünden önce, XWiki'deki blog uygulaması herhangi bir sayfada düzenleme yetkisi olan herhangi bir kullanıcı için uzaktan kod çalıştırmaya izin veriyordu. Normalde bunlar, kendi kullanıcı profillerini düzenleyebildikleri için oturum açmış tüm kullanıcılardır. Bir istismar için, herhangi bir sayfaya `Blog.BlogPostClass` türünde bir nesne eklemek ve bu nesnenin "Content" alanına istismar kodunu içeren bir betik makrosu eklemek yeterlidir. Güvenlik açığı, blog uygulamasının 9.14 sürümünde blog gönderilerinin içeriğinin uygun yazarın yetkileriyle çalıştırılmasıyla giderilmiştir. Bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- org.xwiki.contrib.blog:application-blog-ui9.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.xwiki.contrib.blog:application-blog-uiMaven | v < 9.14 | 9.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.