XWiki macro-pdfviewer: Cross-Site-Scripting über den width-Parameter

Beschreibung

macro-pdfviewer ist ein PDF-Viewer-Makro für XWiki auf Basis von Mozilla pdf.js. Der width-Parameter des Makros wird nicht korrekt maskiert, was XSS für jeden Benutzer ermöglicht, der eine Seite bearbeiten kann. Besucht ein Administrator die Seite mit dem bösartigen Code, sind Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Installation betroffen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: auf Version 2.5.6 oder neuer aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService CVE-2025-65091
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489
• XWiki Platform – Remote Code Execution über die Datenbanksuche CVE-2024-31982