PT-2025-25439 · Xwiki · Xwiki

Michael Hamann · Publicado 2024-08-30 · Atualizado 2025-06-13 · CVE-2025-49587

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do XWiki anteriores a 15.10.16 Versões do XWiki anteriores a 16.4.7 Versões do XWiki anteriores a 16.10.2

Descrição O problema surge quando um usuário sem direitos de script cria um documento contendo um objeto XWiki.Notifications.Code.NotificationDisplayerClass. Se um administrador editar e salvar este documento posteriormente, o conteúdo potencialmente malicioso do objeto é exibido como HTML bruto, permitindo ataques de cross-site scripting (XSS). O exibidor de notificações executa código Velocity e, embora um analisador genérico alerte os administradores sobre a edição de código Velocity, avisos para editar documentos com propriedades perigosas foram introduzidos apenas no XWiki 15.9.

Recomendações Para versões anteriores a 15.10.16, atualize para a versão 15.10.16 ou posterior. Para versões anteriores a 16.4.7, atualize para a versão 16.4.7 ou posterior. Para versões anteriores a 16.10.2, atualize para a versão 16.10.2 ou posterior. Como solução temporária, considere ter cautela ao editar documentos com código potencialmente malicioso, especialmente aqueles contendo objetos XWiki.Notifications.Code.NotificationDisplayerClass, até que uma correção seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-357

Identificadores relacionados

BDU:2025-06830

CVE-2025-49587

GHSA-J7P2-87Q3-44W7

Produtos afetados

Xwiki

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/49xxx/CVE-2025-49587.json · Exploit
• https://github.com/xwiki/xwiki-platform · Nota
• https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-j7p2-87q3-44w7 · Aviso do Fabricante
• https://github.com/xwiki/xwiki-platform/commit/55c5d568c4dc4619f37397d00d14dcdeab9c252d · Correção
• https://twitter.com/VulmonFeeds/status/1933621493264511157 · Publicação no Twitter
• https://jira.xwiki.org/browse/XWIKI-22470 · Aviso do Fabricante
• https://t.me/cvetracker/26213 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1933590557885976754 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-49587 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-06830 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-j7p2-87q3-44w7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-49587 · Nota de Segurança