Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] XWiki opravuje 2 kritické zraniteľnosti

XWiki verziami 13.10.11, 14.4.7 a 14.10 opravuje dve kritické zraniteľnosti [1][2].

XWiki - XSS (CVE-2025-53835 )
CVSS 9.0 (Critical)

Autentizovanému vzdialenému útočníkovi s oprávnením upravovať dokumenty je vďaka závislosti syntaxe XHTML na 'xdom+xml/current', ktorá umožňuje vkladanie ľubovoľného HTML vrátane JavaScriptu, umožnené vykonať XSS útok [1].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >=5.4.5, <14.10

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-53835 na cve.org, NVD
  • CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2025.

XWiki - RCE (CVE-2025-53836)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi je vďaka nesprávnemu zachovaniu atribútu „restricted“ pri vykonávaní vnorených makier umožnené spustiť zakázané makrá, čo môže viesť k eskalácii oprávnení a vzdialenému spusteniu kódu [2].

Zraniteľnosť sa nachádza v produkte:

  • XWiki; >=4.2-milestone-1, <13.10.11; >=14.0, <14.4.7; >=14.5, <14.10

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 7. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 15. 7. 2025.

CESNET, z.s.p.o. Logo