XWiki – Unvollständige Rechteanalyse für gefährliche Makros ermöglicht Remote Code Execution

Beschreibung

XWiki warnt seit Version 15.9RC1 beim Bearbeiten von Inhalten mit gefährlichen Makros, die von Benutzern mit geringeren Rechten stammen. Die dafür zuständigen Rechteanalysen sind jedoch unvollständig: Parameter in Nicht-Kleinschreibung, Makro-Parameter mit XWiki-Syntax (etwa Titel von Infoboxen) sowie die source-Parameter der content- und context-Makros wurden nicht geprüft. Im schlimmsten Fall kann ein Angreifer so bösartige Skript-Makros (etwa Groovy oder Python) in einer Seite verstecken, die nach dem Bearbeiten durch einen Benutzer mit Programmierrechten ausgeführt werden – Remote Code Execution. CVSS-Basiswert: 8 (Hoch). Empfohlene Massnahme: auf XWiki 16.4.7, 16.10.3 oder 17.0.0 aktualisieren, wo die Analysen erweitert wurden.

Changelog

1. 2026-07-26 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in XWiki

• XWiki Platform – Eval Injection KEV CVE-2025-24893
• XWiki Platform – Lesezugriff auf Konfigurationsdateien über SSX-URLs CVE-2026-23734
• XWiki Full Calendar Macro – SQL-Injection über die Seite Calendar.JSONService CVE-2025-65091
• XWiki Remote Macros – Remote Code Execution über den width-Parameter des column-Makros CVE-2025-55727
• XWiki Remote Macros – Remote Code Execution über den classes-Parameter im panel-Makro CVE-2025-55728
• XWiki Pro Macros – Remote Code Execution über das Viewpdf-Makro CVE-2024-42489