Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Makro XWiki Full Calendar opravuje 2 zraniteľnosti
XWiki verziou 2.4.6 opravuje 2 zraniteľnosti v makre Full Calendar [1][2].
Neautentizovanému vzdialenému útočníkovi s oprávnením zobraziť stránku Calendar.JSONService je kvôli zraniteľnosti typu SQL injection v makre Full Calendar umožnené získať plný prístup k informáciám v databáze, prípadne vykonať útok DoS [1].
Zraniteľnosť sa nachádza v produkte:
- macro-fullcalendar; <2.4.5
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-65091 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 1. 2026.
Neautentizovanému vzdialenému útočníkovi s oprávnením zobraziť stránku Calendar.JSONService je kvôli zraniteľnosti v makre Full Calendar umožnené získať z databázy e-mailové adresy používateľov [2].
Zraniteľnosť sa nachádza v produkte:
- macro-fullcalendar; <= 2.4.5
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2025-65090 na cve.org, NVD
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 1. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 13. 1. 2026.