CVE-2025-64087

W komponentach FreeMarker w wersjach od 1.0.0 do 2.1.0 XDocReport występuje podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Umożliwia ona atakującym wykonywanie dowolnego kodu poprzez wstrzykiwanie spreparowanych wyrażeń szablonów.

Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemów korzystających z XDocReport. Atakujący mogą uzyskać pełną kontrolę nad serwerem, co może skutkować utratą danych lub kompromitacją systemu.

Zaleca się aktualizację komponentu XDocReport do najnowszej wersji, która eliminuje tę podatność. Dodatkowo, warto przeprowadzić audyt kodu oraz monitorować aplikacje w celu wykrycia potencjalnych prób ataków.