XWiki Remote Macros 1.13-1.14.5 版漏洞 CVE-2026-44179 允許遠端程式執行
CVE-2026-44179 - XWiki Pro Macros: excerpt-include title and content injection executes code
XWiki Remote Macros 1.13-1.14.5 版存在 CVE-2026-44179 風險，任何可編輯頁面的使用者皆能在標題或內容中注入可執行宏，導致遠端程式執行。
此 CVE 影響 XWiki 1.13 至 1.14.5 版，任何可編輯頁面者皆可遠端執行程式，務必升級至 1.14.5 以防止資料外洩與服務中斷。
譯文尚未完整，完整內容請切換至原文。
XWiki Remote Macros 提供 XWiki 渲染宏，當從 Confluence 遷移內容時非常有用。從 1.13 到 1.14.5，`excerpt-include` 宏未能正確轉義所包含頁面的標題，並以宏的許可權執行 `excerpt` 內容。`xwiki-pro-macros-ui/src/main/resources/Confluence/Macros/ExcerptInclude.xml` 中的標題處理以及將 `excerpt` 內容渲染為 XWiki 語法都允許語法注入。任何能編輯頁面（即使沒有指令碼或程式設計許可權）的使用者都可以在標題或 `excerpt` 中提供可執行宏語法，並在頁面被包含時造成遠端程式碼執行。這影響整個 XWiki 安裝的機密性、完整性和可用性。此問題已在 1.14.5 版本中修復。
影響
受影響產品
以下產品受到 CVE-2026-44179 漏洞的影響。
即使 cvefeed.io 知道受影響產品的精確版本，該資訊也未在下表中呈現。
| ID | 供應商 | 產品 | 操作 |
|---|---|---|---|
| 1 | Xwiki | pro_macros |
Common Vulnerability Scoring System（CVSS）是一個標準化框架，用於評估軟體和系統中漏洞的嚴重程度。我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 關鍵 | github | ||||
| CVSS 3.1 | 關鍵 | MITRE-CVE | ||||
| CVSS 3.1 | 關鍵 | [email protected] |
更新 ExcerptInclude 宏以正確轉義標題和內容，防止 XWiki 語法注入。
- 更新 ExcerptInclude 宏以轉義頁面標題。
- 確保 excerpt 內容安全渲染。
- 在可用時套用供應商修補程式。
- 審查宏使用與許可權。
這裡您將找到一份精選的外部連結清單，提供有關 CVE-2026-44179 的深入資訊、實用解決方案和有價值的工具。
當 CVE 標示特定漏洞例項時，CWE 則分類能導致漏洞的常見缺陷或弱點。CVE-2026-44179 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式描述了對手用於利用 CVE-2026-44179 弱點的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證攻擊。以下列表是已在 GitHub 上發布的公開攻擊與概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表是文章中提及 CVE-2026-44179 漏洞的新聞。
以下表格列出了 CVE-2026-44179 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
收到新 CVE 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 描述 XWiki Remote Macros 提供 XWiki 渲染巨集，對於從 Confluence 轉移內容非常有用。從 1.13 到 1.14.5，`excerpt-include` 巨集未能正確轉義所包含頁面的標題，並以巨集許可權執行 `excerpt` 內容。`xwiki-pro-macros-ui/src/main/resources/Confluence/Macros/ExcerptInclude.xml` 中的標題處理以及將 `excerpt` 內容渲染為 XWiki 語法都允許語法注入。任何能編輯頁面的使用者，即使沒有指令碼或程式許可權，也能在標題或 `excerpt` 中提供可執行的巨集語法，並在頁麵包含時導致遠端程式碼執行。這會影響整個 XWiki 安裝的機密性、完整性和可用性。此問題已在 1.14.5 版修正。 新增 CVSS V3.1 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H 新增 CWE CWE-95 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/44xxx/CVE-2026-44179.json">CVE-2026-44179</a> 新增 參考 https://github.com/xwikisas/xwiki-pro-macros/commit/151d4fccb62f6ec5f3c972e837869454677ab1ca 新增 參考 https://github.com/xwikisas/xwiki-pro-macros/releases/tag/xwiki-pro-macros-1.14-5 新增 參考 https://github.com/xwikisas/xwiki-pro-macros/security/advisories/GHSA-w56x-9778-rppx
EPSS 是對未來 30 天內觀測到利用活動的每日機率估算。以下圖表顯示了該漏洞的 EPSS 分數歷史。