Vulnerabilidad en XWiki (CVE-2025-49583)
Gravedad CVSS v4.0:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/06/2025
Última modificación:
03/09/2025
Descripción
XWiki es una plataforma wiki genérica. Cuando un usuario sin permisos de script crea un documento con un objeto `XWiki.Notifications.Code.NotificationEmailRendererClass` y posteriormente un administrador lo edita y guarda, las plantillas de correo electrónico de este objeto se usarán para las notificaciones. Sin embargo, no se puede ejecutar código malicioso, ya que, si bien estas plantillas permiten código Velocity, el analizador genérico existente ya advierte a los administradores antes de editarlo. Por lo tanto, el principal impacto sería el envío de spam, por ejemplo, con enlaces de phishing, a otros usuarios, o la ocultación de notificaciones sobre otros ataques. Tenga en cuenta que las advertencias antes de editar documentos con propiedades peligrosas solo se introdujeron en XWiki 15.9; antes de esa versión, este era un problema conocido y la recomendación era simplemente tener cuidado. Esto se ha corregido en XWiki 16.10.2, 16.4.7 y 15.10.16 añadiendo un análisis para las propiedades XClass correspondientes.
Impacto
Puntuación base 4.0
5.10
Gravedad 4.0
MEDIA
Puntuación base 3.x
3.50
Gravedad 3.x
BAJA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:* | 15.10.16 (excluyendo) | |
| cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:* | 16.0.0 (incluyendo) | 16.4.7 (excluyendo) |
| cpe:2.3:a:xwiki:xwiki:*:*:*:*:*:*:*:* | 16.5.0 (incluyendo) | 16.10.2 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página