CVE-2025-66474
Açıklama
XWiki Rendering, belirli bir sözdizimindeki (wiki sözdizimi, HTML vb.) metin girişini başka bir sözdizimine (XHTML vb.) dönüştüren genel bir işleme sistemidir. 16.10.9 ve altı sürümler, 17.0.0-rc-1 ile 17.4.2 arası ve 17.5.0-rc-1 ile 17.5.0 arası sürümler, saldırganların RCE aracılığıyla istismar edebileceği {{/html}} enjeksiyonuna karşı yetersiz korumaya sahiptir. Kendi profilini veya herhangi bir diğer belgeyi düzenleyebilen her kullanıcı; uzaktan kod çalıştırmanın yanı sıra tüm wiki içeriklerine kısıtlamasız okuma ve yazma erişimi sağlayan Groovy ve Python makroları dahil olmak üzere rastgele betik makrolarını çalıştırabilir. Bu sorun 16.10.10, 17.4.3 ve 17.6.0-rc-1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- xwiki xwiki-rendering16.10.10, 17.4.3 ya da sonraki bir sürüm
- org.xwiki.rendering:xwiki-rendering-xml16.10.10, 17.4.3, 17.6.0-rc-1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xwiki xwiki-rendering | v < 16.10.10, 17.0.0 ≤ v < 17.4.3, 17.5.0 | 16.10.10, 17.4.3 |
| org.xwiki.rendering:xwiki-rendering-xmlMaven | v < 16.10.10, 17.0.0-rc-1 ≤ v < 17.4.3, 17.5.0-rc-1 ≤ v < 17.6.0-rc-1 | 16.10.10, 17.4.3, 17.6.0-rc-1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.