CVE-2026-44179
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.7%
- CWE
- CWE-95
- KEV Durumu
- Hayır
Yayım tarihi: 28 Ekim 2026
XWiki Remote Macros, Confluence'dan içerik taşınırken yararlı olan XWiki rendering makrolarını sağlar. 1.13'den 1.14.5'e kadar, `excerpt-include` makrosu dahil edilen sayfanın başlığını uygun şekilde kaçırmaz ve `excerpt` içeriğini makronun hakları ile çalıştırır. `xwiki-pro-macros-ui/src/main/resources/Confluence/Macros/ExcerptInclude.xml` dosyasındaki başlık işleme ve `excerpt` içeriğinin XWiki sentaksına dönüştürülmesi, her ikisi de sentaks enjeksiyonuna izin verir. Bir sayfayı düzenleyebilecek herhangi bir kullanıcı, script veya programlama haklarına sahip olmasa bile, başlık veya `excerpt` içinde çalıştırılabilir makro sentaksı sağlayabilir ve sayfa dahil edildiğinde uzaktan kod çalıştırmasına neden olabilir. Bu, tüm XWiki kurulumunun gizliliği, bütünlüğü ve erişilebilirliğini etkiler. Bu sorun 1.14.5 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
XWiki Remote Macros provides XWiki rendering macros that are useful when migrating content from Confluence. From 1.13 until 1.14.5, the `excerpt-include` macro does not properly escape the included page's title and executes `excerpt` content with the macro's rights. The title handling in `xwiki-pro-macros-ui/src/main/resources/Confluence/Macros/ExcerptInclude.xml` and the rendering of `excerpt` content into XWiki syntax both allow syntax injection. Any user able to edit a page, even without script or programming rights, can supply executable macro syntax in the title or `excerpt` and cause remote code execution when the page is included. This affects confidentiality, integrity and availability of the whole XWiki installation. This issue is fixed in version 1.14.5.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.