CVE-2026-44179: RCE su XWiki Remote Macros, upgrade urgente a 1.14.5

Il CVE-2026-44179 descrive una falla di injection di sintassi nei macro di XWiki Remote Macros, specificamente in excerpt-include. Il macro non escape correttamente il titolo della pagina inclusa e esegue il contenuto 'excerpt' con i diritti del macro stesso. Questo consente a qualsiasi editor di pagina, anche senza permessi script o programmazione, di iniettare sintassi macro eseguibile e ottenere RCE (remote code execution) con i privilegi dell'installazione XWiki.

La vulnerabilità ha un CVSS 9,9 (Critical). È stata pubblicata dal NVD il 28 ottobre 2026: meno di 48 ore fa. Su X sono stati segnalati 4 post pubblici nelle ultime 24 ore con analisi coerenti sulla criticità. Non è stato confermato uno sfruttamento pubblicamente disponibile né evidenza di exploit pubblicati, ma il fatto che il difetto sia di facile comprensione richiede un intervento immediato.

Per i difensori, l'azione prioritaria è l'upgrade di XWiki Remote Macros alla versione 1.14.5 o superiore. Prima dell'upgrade, identificare tutte le installazioni XWiki che includono il componente Remote Macros. Dopo l'upgrade, eseguire un audit dei log di modifica delle pagine nel periodo di vulnerabilità (da quando è stata deployata la versione 1.13 fino a oggi) per individuare eventuali inizioni di sintassi nei titoli o nei campi 'excerpt'.