org.xwiki.platform:xwiki-platform-flamingo-theme-ui Eval Injection vulnerability

Una vulnerabilidad en el tema Flamingo de XWiki permite que cualquier usuario con permiso de visualización ejecute código malicioso (Groovy, Python o Velocity) que puede tomar control de toda la instalación de XWiki. El problema ocurre porque la macro documentTree no limpia adecuadamente la entrada del usuario antes de procesarla.

La macro documentTree en FlamingoThemesCode.WebHome no escapa adecuadamente los parámetros, permitiendo inyección de código. Un usuario autenticado con derechos de visualización puede inyectar código arbitrario en Groovy, Python o Velocity a través de los parámetros de la macro, resultando en ejecución remota de código con acceso completo a la instalación. El ataque requiere solo permisos de visualización en documentos instalados por defecto.