CVE-2025-65091 — 神龙十问 AI 深度分析摘要

🚨 **本质**：XWiki Full Calendar Macro 存在 **SQL注入** 漏洞。 💥 **后果**：攻击者可 **窃取数据库信息** 或发起 **拒绝服务攻击 (DoS)**，导致系统不可用。

🔍 **CWE**：CWE-89 (SQL注入)。 📍 **缺陷点**：在 **Calendar.JSONService** 页面处理逻辑中，未对用户输入进行充分过滤，导致恶意SQL语句执行。

📦 **组件**：xwiki-contrib / macro-fullcalendar。 📉 **版本**：**2.4.5 之前** 的所有版本均受影响。

🕵️ **权限**：仅需 **查看 Calendar.JSONService 页面** 的权限。 📊 **数据**：可 **访问数据库敏感信息**，甚至通过注入导致 **服务中断**。

🚪 **门槛**：**极低**。 🔑 **认证**：**无需认证** (PR:N)。 🌐 **网络**：**远程** (AV:N)。 🎯 **复杂度**：**低** (AC:L)。

🧪 **PoC**：数据中未提供现成 Exploit。 🌍 **在野**：暂无在野利用报告。 🔗 **参考**：见 GitHub Advisory (GHSA-2g22-wg49-fgv5)。

🔎 **自查**：检查 XWiki 实例是否安装了 **macro-fullcalendar** 插件。 📋 **版本**：确认版本是否 **< 2.4.5**。 🛡️ **扫描**：使用支持 CVE-2025-65091 指纹的漏洞扫描器。

🛡️ **补丁**：官方已发布修复。 📌 **版本**：升级至 **2.4.5 或更高版本**。 🔗 **链接**：GitHub Commit 5fdcf06a。

⚠️ **临时规避**：若无法升级，**移除** 或 **禁用** Full Calendar Macro 组件。 🚫 **权限**：严格限制对 **Calendar.JSONService** 页面的访问权限（如设为仅管理员可见）。

🔥 **优先级**：**高**。 📈 **CVSS**：9.1 (Critical)。 💡 **建议**：鉴于 **无需认证** 且 **影响范围大** (C:H/I:H/A:H)，建议 **立即升级** 或采取缓解措施。