XWiki היא פלטפורמת ויקי שארגונים מריצים על השרתים שלהם לניהול ידע פנימי. בגרסאות שלפני התיקון יכול היה כל מי שהגיע לשרת, בלי חשבון ובלי התחברות, לגרום לו להריץ קוד דרך בקשת חיפוש. הציון הוא 9.8 מתוך 10, וב-30 באוקטובר 2025 נכנסה החולשה לקטלוג החולשות המנוצלות בפועל של CISA.

מה החולשה?

בוויקי אפשר לשתול בתוך הדף פקודות קצרות שהשרת מריץ ברגע ההצגה, מה שנקרא מאקרו. זה מה שמאפשר לדף להציג רשימה מתעדכנת או תוצאה מחושבת במקום טקסט קבוע.

הבעיה היא שמסך החיפוש העביר את מה שהמשתמש הקליד הלאה בלי לנטרל אותו קודם. טקסט חיפוש שנכתב בצורה מסוימת לא נקרא כטקסט לחיפוש אלא כמאקרו, והשרת הריץ אותו. מכאן ההבדל בין חולשה מטרידה לחולשה בציון 9.8: אין צורך בחשבון, הבקשה נראית כמו בקשת רשת רגילה, והקוד רץ בהרשאות של הוויקי עצמו.

לסוג הבאג הזה קוראים הזרקת קוד לפקודת הרצה דינמית. הרשומה מציינת שההשפעה נוגעת לסודיות, לשלמות ולזמינות של ההתקנה כולה, ולא לדף בודד בתוכה.

מי מושפע?

טווחי הגרסאות ברשומה הם 5.3, כל הגרסאות מ-5.4 ועד 15.10.11, וענף 16 מ-16.0.0 ועד 16.4.1, בשני המקרים בלי לכלול את גרסת התיקון עצמה. זו שרשרת ארוכה של גרסאות שהצטברה לאורך שנים, ומי שלא עבר גרסה מזמן נמצא בתוכה.

XWiki מותקנת אצל הארגון עצמו, ולכן העדכון תלוי במי שמתחזק את השרת ולא בספק חיצוני. בישראל היא אינה נפוצה כמו הוויקי הציבורי המוכר, והיא מופיעה בעיקר במחלקות פיתוח ובארגונים שרצו ויקי פנימי שנשאר בתוך הבית. שרת ויקי פנימי שנגיש גם מבחוץ הוא המקרה הדחוף כאן.

האם מנוצלת בפועל?

כן. ב-30 באוקטובר 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בפועל, והמועד שנקבע לגופים הפדרליים האמריקאיים לסגור אותה היה 20 בנובמבר 2025.

שימו לב לפער: הרשומה פורסמה בפברואר 2025, והחולשה נכנסה לקטלוג באוקטובר. בין שני התאריכים האלה יש חלון ארוך שבו התיקון היה זמין ולא כולם התקינו אותו.

ההודעה של XWiki מפרטת גם דרך לבדוק אם התקנה מסוימת חשופה, בלי להתחבר אליה.

מה עושים?

1. בדקו איזו גרסה מותקנת. מספר הגרסה מופיע בעמוד הניהול של XWiki.
2. עדכנו לגרסה שסוגרת את הענף שלכם: 15.10.11 בענף 15, או 16.4.1 ומעלה בענף 16. אין כאן גרסה אחת שמתאימה לכולם, ולכן כדאי לוודא באיזה ענף אתם לפני ההורדה.
3. אם אי אפשר לעדכן מיד, היצרן מפרסם מעקף: שינוי המאקרו שמגיש את פיד ה-RSS של החיפוש בקובץ SolrSearchMacros.xml, כך שהתוכן יוחזר כ-XML במקום להישלח כמו שהוא. הפרטים המדויקים נמצאים בהודעת היצרן, וזו פעולה למי שמתחזק את השרת.
4. אחרי העדכון עברו על יומני השרת וחפשו בקשות לעמוד החיפוש שחריגות באורך או בתוכן. הרצת קוד שכבר קרתה אינה נמחקת בעדכון.