CVE-2025-55728

RCE przez XWiki syntax injection w parametrze classes makra Panel

CVSS 10.0v3.1pub. 2025-09-09upd. 2025-09-17

Podatność w komponencie XWiki Pro Macros (Remote Macros) umożliwia zdalne wykonanie kodu (RCE) każdemu użytkownikowi posiadającemu uprawnienia do edycji dowolnej strony. Krytyczny poziom CVSS 10.0 oznacza pełne ryzyko przejęcia instancji XWiki bez jakiejkolwiek uwierzytelniającej bariery wejściowej.

▸ Pokaż oryginał (EN)

XWiki Remote Macros provides XWiki rendering macros that are useful when migrating content from Confluence. Starting in version 1.0 and prior to version 1.26.5, missing escaping of the classes parameter in the panel macro allows remote code execution for any user who can edit any page The classes parameter is used without escaping in XWiki syntax, thus allowing XWiki syntax injection which enables remote code execution. Version 1.26.5 contains a patch for the issue.

🤖 Analiza AI

Jak działa

Parametr classes makra Panel jest wstawiany do składni XWiki bez odpowiedniego escapingu. Atakujący może dostarczyć specjalnie spreparowaną wartość tego parametru, która zostanie zinterpretowana jako XWiki syntax injection. W rezultacie silnik renderowania XWiki przetworzy osadzony payload jako kod, co prowadzi bezpośrednio do RCE na serwerze. Wystarczy, że użytkownik ma możliwość edycji jakiejkolwiek strony w instancji — nie są wymagane uprawnienia administracyjne.

Skutki

Atakujący może uzyskać pełną kontrolę nad instancją XWiki, w tym odczyt i modyfikację wszystkich danych, wykonanie dowolnych poleceń systemowych oraz potencjalne przejęcie całego środowiska serwerowego (naruszenie poufności, integralności i dostępności).

Mitygacja

Należy zaktualizować XWiki Pro Macros do wersji 1.26.5, która zawiera oficjalny patch eliminujący brak escapingu parametru classes w makrze Panel. Jeśli natychmiastowa aktualizacja nie jest możliwa, należy rozważyć ograniczenie uprawnień edycji stron do zaufanych użytkowników do czasu wdrożenia patcha.

Kogo dotyczy

XWiki Pro Macros (xwiki-pro-macros) w wersjach od 1.0 do wcześniejszych niż 1.26.5

Uwagi

Podatność dotyczy komponentu przeznaczonego do migracji treści z Confluence. Patch dostępny jest w repozytorium GitHub (commit 3ca8152) oraz opisany w security advisory GHSA-48f4-h726-74p5.