Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je z dôvodu nedostatočnej kontroly vstupu vyhľadávania umožnené spustiť Groovy alebo Velocity kód, čo umožní vykonávať ľubovolné akcie v operačnom systéme inštancie s právami používateľa, pod ktorým je XWiki inštancia spustená [2]. PoC script je možné získať z [3], kde heslo k súboru je "ZDI-CAN-23994" a popis jeho funkcionality je možné nájsť na [2]. Informácie ohľadom dočasnej opravy je možné nájsť na [1].

Zraniteľnosť sa nachádza v produkte:

• Xwiki; >= 5.3-milestone-2, < 15.10.11; >= 16.0.0-rc-1, < 16.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-24893 na cve.org, NVD
• CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 2. 2025.