Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] XWiki opravuje kritickou zranitelnost

XWiki verzemi 15.10.11, 16.4.1 a 16.5.0-rc-1 opravuje kritickou zranitelnost [1].

XWiki - RCE (CVE-2025-24893)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je z důvodu nedostatečné kontroly vstupu vyhledávání umožněno spustit Groovy nebo Velocity kód, což umožní vykonávat libovolné akce v operačním systému instance s právy uživatele, pod kterým je XWiki instance spuštěna [2]. PoC skript lze získat z [3], kde heslo k souboru je "ZDI-CAN-23994" a popis jeho funkcionality lze nalézt na [2]. Informace ohledně dočasné opravy lze nalézt na [1].

Zranitelnost se nachází v produktu:

  • Xwiki; >= 5.3-milestone-2, < 15.10.11; >= 16.0.0-rc-1, < 16.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-24893 na cve.org, NVD
  • CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 2. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 26. 2. 2025.

CESNET, z.s.p.o. Logo