Vulnerabilidad en XWiki (CVE-2025-48063)

XWiki es una plataforma wiki genérica. En XWiki 16.10.0, se introdujeron los permisos obligatorios para limitar los permisos que puede tener un documento. Parte del modelo de seguridad de los permisos obligatorios consiste en que un usuario sin permisos tampoco puede definirlos como obligatorios. De esta forma, los usuarios que editan documentos con permisos obligatorios pueden estar seguros de no otorgar permisos a un script u objeto que no poseían previamente. Un error en la implementación de esta regla permitió que cualquier usuario con permisos de edición en un documento pudiera establecer permisos de programación como obligatorios. Si un usuario con permisos de programación editaba ese documento, el contenido obtenía permisos de programación, lo que permitía la ejecución remota de código. Esto anula la mayoría de las ventajas de seguridad de los permisos obligatorios. Dado que XWiki sigue realizando el análisis de permisos obligatorios cuando un usuario edita una página, incluso con los permisos obligatorios, el usuario con permisos de programación recibiría una advertencia sobre el contenido peligroso a menos que el atacante lograra eludir esta comprobación. Tenga en cuenta también que ninguna de las versiones afectadas incluye una interfaz de usuario que permita aplicar los derechos requeridos, por lo que parece improbable que alguien confiara en ella para la seguridad en las versiones afectadas. Dado que esta vulnerabilidad no ofrece ninguna superficie de ataque adicional a menos que todos los documentos de la wiki apliquen los derechos requeridos, consideramos que el impacto de este ataque es bajo, aunque obtener los derechos de programación podría tener un impacto alto. Esta vulnerabilidad ha sido corregida en XWiki 16.10.4 y 17.1.0RC1. No existen soluciones alternativas conocidas, salvo la actualización.