org.xwiki.platform:xwiki-platform-flamingo-theme-ui Eval Injection vulnerability
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Uma falha no tema Flamingo do XWiki permite que qualquer usuário com permissão de visualização execute código malicioso (Groovy, Python ou Velocity) que pode controlar toda a instalação do XWiki. O problema ocorre porque a macro documentTree não limpa adequadamente a entrada do usuário antes de processar.
A macro documentTree em FlamingoThemesCode.WebHome não escapa adequadamente os parâmetros, permitindo injeção de código. Um usuário autenticado com direitos de visualização pode injetar código arbitrário em Groovy, Python ou Velocity através dos parâmetros da macro, resultando em execução remota de código com acesso completo à instalação. O ataque requer apenas permissões de visualização em documentos instalados por padrão.