【缝隙公告】XWiki Details Summary宏远程代码执行缝隙(CVE-2025-65036)

颁布功夫 2025-12-08

一、缝隙概述


缝霞称

XWiki-pro-macros Details Summary宏远程代码执行缝隙

CVE   ID

CVE-2025-65036

缝隙类型

RCE

发现功夫

2025-12-8

缝隙评分

8.3

缝隙等级

高危

攻击向量

网络

所需权限

低

利用难度

低

用户交互

不必要

PoC/EXP

已公开

在野利用

未发现


XWiki是一个开源的企业级知识治理和合作平台 ，允许用户创建、治理和共享内容。它基于Java和Hibernate构建 ，拥有壮大的可扩大性和矫捷的权限节造机造 ，支持自界说扩大和集成。XWiki重要用于文档治理、项目合作和知识库建设 ，宽泛利用于企业、组织和开发者社区。它提供了丰硕的插件和模板 ，能够满足分歧企业的需要 ，并支持多种体式的内容展示。XWiki的盛开源代码使得用户能够自由定造并进行二次开发。


2025年12月8日 ，GA黄金甲集团VSRC监测到XWiki-pro-macros Details Summary宏远程代码执行缝隙 ，影响com.xwiki.pro:xwiki-pro-macros-confluence-bridges-ui包 ，该缝隙源于Confluence的Details Summary宏的实现问题 ，宏在执行Velocity剧本时未进行适当的权限查抄 ，导致未授权的用户可能通过机关特定页面内容 ，触发远程代码执行。攻击者能够通过创建一个蕴含Groovy代码的异步宏的详情宏页面 ，随后由治理员将该页面通过Details Summary宏蕴含到其他页面中 ，从而执行恶意代码。该缝隙可导致攻击者在没有编程权限的情况下 ，通过机关特定页面内容进行恶意操作 ，从而在系统中执行未经授权的代码 ，进而风险系统安全。


二、影响领域


xwiki-pro-macros <= 1.27.0


三、安全措施


3.1 升级版本


官方已颁布建复补丁 ，以建复该缝隙。
xwiki-pro-macros >= 1.27.1


下载链接：https://github.com/xwikisas/xwiki-pro-macros/tags/


3.2 一时措施


暂无。


3.3 通用建议


? 定期更新系统补丁 ，削减系统缝隙 ，提升服务器的安全性。
? 加强系统和网络的接见节造 ，批改防火墙战术 ，关关非必要的利用端口或服务 ，削减将危险服务（如SSH、RDP等）露出到公网 ，削减攻击面。
? 使用企业级安全产品 ，提升企业的网络安全机能。
? 加强系统用户和权限治理 ，启用多成分认证机造和最幼权限准则 ，用户和软件权限应维持在最低限度。
? 启用强密码战术并设置为定期批改。


3.4 参考链接


https://github.com/xwikisas/xwiki-pro-macros/security/advisories/GHSA-472x-fwh9-r82f/
https://nvd.nist.gov/vuln/detail/CVE-2025-65036