【漏洞通告】XWiki Details Summary宏远程代码执行漏洞(CVE-2025-65036)
发布时间 2025-12-08一、漏洞概述
漏洞名称 | XWiki-pro-macros Details Summary宏远程代码执行漏洞 | ||
CVE ID | CVE-2025-65036 | ||
漏洞类型 | RCE | 发现时间 | 2025-12-8 |
漏洞评分 | 8.3 | 漏洞等级 | 高危 |
攻击向量 | 网络 | 所需权限 | 低 |
利用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 已公开 | 在野利用 | 未发现 |
XWiki是一个开源的企业级知识管理和协作平台，允许用户创建、管理和共享内容。它基于Java和Hibernate构建，具有强大的可扩展性和灵活的权限控制机制，支持自定义扩展和集成。XWiki主要用于文档管理、项目协作和知识库建设，广泛应用于企业、组织和开发者社区。它提供了丰富的插件和模板，可以满足不同企业的需求，并支持多种格式的内容展示。XWiki的开放源代码使得用户可以自由定制并进行二次开发。
2025年12月8日，启明星辰集团VSRC监测到XWiki-pro-macros Details Summary宏远程代码执行漏洞，影响com.xwiki.pro:xwiki-pro-macros-confluence-bridges-ui包，该漏洞源于Confluence的Details Summary宏的实现问题，宏在执行Velocity脚本时未进行适当的权限检查，导致未授权的用户能够通过构造特定页面内容，触发远程代码执行。攻击者可以通过创建一个包含Groovy代码的异步宏的详情宏页面，随后由管理员将该页面通过Details Summary宏包含到其他页面中，从而执行恶意代码。该漏洞可导致攻击者在没有编程权限的情况下，通过构造特定页面内容进行恶意操作，从而在系统中执行未经授权的代码，进而危害系统安全。
二、影响范围
三、安全措施
3.1 升级版本
下载链接：https://github.com/xwikisas/xwiki-pro-macros/tags/
京公网安备11010802024551号