XWiki Pro Macros: Code-Injection im Makro excerpt-include

Zusammenfassung

Das Makro excerpt-include des Add-ons XWiki Pro Macros maskiert den Titel der eingebundenen Seite nicht korrekt und führt Excerpt-Inhalte mit den Rechten des Makros aus. Jeder Benutzer, der eine Seite bearbeiten kann, ohne Script- oder Programmierrechte zu besitzen, kann Makro-Syntax einschleusen, die beim Einbinden der Seite ausgeführt wird. Ein erfolgreicher Angriff kann zu Remote Code Execution führen und betrifft die Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Installation.

Betroffen

• xwiki-pro-macros ab Version 1.13 bis vor 1.14.5 (gemäss GitHub-Advisory und OSV)
• Ein VulDB-Eintrag nennt nur 1.14.0 bis 1.14.4; 1.13.x ist nicht bestätigt als nicht betroffen, daher bis zur Prüfung als betroffen behandeln
• Das Add-on ist nur relevant, wenn es installiert ist

Behoben in

• Aktualisierung auf xwiki-pro-macros 1.14.5 oder neuer

Umgehung

• Unbekannt. Der Hersteller dokumentiert keinen Workaround.
• Übergangsmassnahmen (nicht vom Hersteller): Seitenbearbeitungsrechte auf vertrauenswürdige Benutzer beschränken, das Confluence-Makro-Add-on nach Abschluss der Migration entfernen und Seiten mit excerpt-include oder excerpt auf unerwartete Makro-Syntax prüfen

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA KEV
• Öffentlicher Proof of Concept: Das GitHub-Advisory enthält Reproduktionsschritte mit einer harmlosen Testzeichenfolge; nicht unabhängig verifiziert
• Die Korrektur ist seit der Veröffentlichung des Advisory am 22.06.2026 öffentlich verfügbar

Unsere Empfehlung

• Prüfen, ob das Add-on xwiki-pro-macros installiert ist und welche Version läuft
• Bei einer älteren Version die Aktualisierung auf 1.14.5 oder neuer mit hoher Priorität durchführen
• Bis zur Korrektur Seitenbearbeitungsrechte auf vertrauenswürdige Benutzer beschränken und Seiten auf unerwartete Makro-Syntax prüfen
• Ist das Add-on nicht installiert, ist keine Massnahme nötig

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-w56x-9778-rppx github.com
• GitHub Advisory Database GHSA-w56x-9778-rppx github.com
• Fix commit 151d4fc github.com
• Release xwiki-pro-macros-1.14.5 github.com
• GitLab advisory CVE-2026-44179 advisories.gitlab.com
• VulDB entry 428020 vuldb.com
• Offseq threat radar CVE-2026-44179 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:48.