CVE-2025-65089
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W rozszerzeniu XWiki Remote Macros przed wersją 1.27.0 użytkownik bez uprawnień do przeglądania strony może zobaczyć zawartość załącznika biurowego wyświetlanego makrem view file. Problem został naprawiony w wersji 1.27.0.
Ocena ryzyka
Może dojść do nieautoryzowanego ujawnienia treści załączników użytkownikom, którzy nie powinni mieć do nich dostępu. Stanowi to naruszenie poufności danych w środowisku XWiki.
Rekomendacja
Zaktualizuj rozszerzenie XWiki Remote Macros do wersji 1.27.0 lub nowszej. Sprawdź, czy żadne wrażliwe załączniki nie były dostępne dla nieuprawnionych użytkowników.
Inne podatności w XWiki Remote Macros
Zobacz wszystkie- CVE-2025-55728Krytyczne
XWiki Remote Macros w wersjach od 1.0 do przed 1.26.5 nie escapuje parametru classes w makrze panel, co pozwala na wstrzyknięcie składni XWiki i zdalne wykonanie kodu przez każdego użytkownika mogącego edytować dowolną stronę. Wersja 1.26.5 zawiera poprawkę.
- CVE-2025-55727Krytyczne
XWiki Remote Macros w wersjach od 1.0 do przed 1.26.5 nie escapuje parametru width w makrze column, co umożliwia wstrzyknięcie składni XWiki. Pozwala to na zdalne wykonanie kodu dla użytkowników mogących edytować strony lub mających dostęp do konwertera CKEditor.
Oryginalny opis (angielski, źródło NVD)
XWiki Remote Macros provides XWiki rendering macros that are useful when migrating content from Confluence. Prior to version 1.27.0, a user with no view rights on a page may see the content of an office attachment displayed with the view file macro. This issue has been patched in version 1.27.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS