xwiki CVE-2025-32969 sql注入

日期: 2025-09-03 | 影响软件: xwiki | POC: 否

漏洞描述

远程未经身份验证的用户可能会从 HQL 执行上下文中逃脱并执行盲 SQL 注入以在数据库后端执行任意 SQL语句，包括启用“阻止未注册用户查看页面，无论页面权限如何”和“阻止未注册用户编辑页面，无论页面权限如何”选项。根据所使用的数据库后端，攻击者不仅可以从数据库中获取密码哈希等机密信息，还可以执行 UPDATE/INSERT/DELETE 查询。

PoC代码

暂无

相关漏洞推荐