CVE-2025-53837

org.xwiki.rendering:xwiki-rendering-xml has an Eval Injection issue

CVSS 3.1Critical

9.9/ 10.0

Опубликовано

18 сентября 2026 г.

Обновлено

21 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 14.10.2

Обновите XWiki до версии 14.10.2 или 15.0 RC1.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Уязвимость внедрения кода (Eval Injection) в xwiki-rendering-xml приводит к критическому RCE в XWiki с наивысшими правами.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Выходные данные парсера подставляются в HTML-макросы без экранирования. Любой пользователь с правами редактирования документов или профиля может закрыть блок HTML-макроса и внедрить макросы Groovy или Python, исполняемые движком с системными правами программирования (programming rights).

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

RCE в контексте сервера приложений. Полный несанкционированный доступ на чтение и запись ко всем документам, конфигурациям и базе данных XWiki.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

xwikixwiki-rendering

все ранние➔Fix: 14.10.2

——

>= 0➔Fix: 14.10.2

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)

github.comhttps://github.com/xwiki/xwiki-rendering/security/advisories/GHSA-26vp-8gxg-v4pg
github.comhttps://github.com/xwiki/xwiki-rendering/commit/92bc8095ed3acce15ab200c8525e1623b4898be5
github.comhttps://github.com/xwiki/xwiki-rendering/releases/tag/xwiki-rendering-14.10.2
github.comhttps://github.com/xwiki/xwiki-rendering/releases/tag/xwiki-rendering-15.0-rc-1
jira.xwiki.orghttps://jira.xwiki.org/browse/XRENDERING-693
jira.xwiki.orghttps://jira.xwiki.org/browse/XWIKI-20313
jira.xwiki.orghttps://jira.xwiki.org/browse/XWIKI-20327

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2025-53837: org.xwiki.rendering:xwiki-rendering-xml has an Eval Injection issue. URL: https://cve.futuretools.ru/cve/CVE-2025-53837

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2025_53837,
  title = {{CVE-2025-53837: org.xwiki.rendering:xwiki-rendering-xml has an Eval Injection issue}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2025-53837}},
  note = {Оперативный инженерный анализ киберугроз}
}