关键漏洞信息 漏洞概述 标题: No warning when granting XWiki.Notifications.Code.NotificationDisplayerClass admin right 类型: Bug 优先级: Blocker 影响版本: 15.9-rc-1 组件: Notifications 标签: attack_xss, attacker_edit, security 修复版本: 16.10.2, ... 描述 重现步骤: 1. 作为没有脚本权限的用户，在任何文档上创建一个类型为XWiki.Notifications.Code.NotificationDisplayerClass的对象。将“Event Type”设置为“update”，并将“Notification template”设置为 。 2. 作为具有管理员权限的用户，编辑该文档。 预期结果: 在编辑时显示警告，因为编辑会授予对象管理权限，这是其激活所必需的。 实际结果: 没有显示警告。编辑文档后，对于任何关于文档更新的通知都会显示警报，并且通知本身不再显示。注意，由于分析器检测到Velocity代码并警告管理员在编辑之前，因此无法直接利用此漏洞执行Velocity代码。 其他信息 状态: Closed 分配给: Michael Hamann 报告者: Michael Hamann 创建日期: 2024年8月30日 13:46 更新日期: 2天前 09:34 解决日期: 2024年12月16日 16:30 相关链接: Security Advisory