- ひとことでXWiki Platform の検索機能から、誰でも外から命令を実行できる弱点です
- 深刻度9.8 緊急CVSS v3.1
- まずやることXWiki を 15.10.11 か 16.4.1 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2025-24893 |
|---|---|
| 製品 | XWiki Platform |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-10-30 |
| 米国政府機関の対応期限 | 2025-11-20 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-95（evalインジェクション） |
何が起きた
Wiki を作るためのソフト XWiki Platform の検索機能 SolrSearch に、送られた文字をプログラムとして実行してしまう弱点が見つかりました。ログインしていないゲストでも、ネットワーク経由で SolrSearch への要求を送るだけで、任意の（攻撃者が好きに選べる）コードを実行できます。XWiki 全体の情報の秘密性や正しさ、使い続けられることに影響します。この弱点は実際に悪用されていることが確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
XWiki Platform の 5.3-milestone-2 以上 15.10.11 未満、16.0.0-rc-1 以上 16.4.1 未満を使っている組織が対象です。
何をすればいい
XWiki を 15.10.11、16.4.1、または 16.5.0RC1 以降に更新されているか確認してください。すぐ更新できない場合は、XWiki の案内にある回避策として、Main.SolrSearchMacros の該当行を、application/xml の形式で返す rawResponse マクロに合わせて書き換えます。あわせて、XWiki の公式の案内（セキュリティ勧告）を確認してください。
やることチェックリスト
- XWiki を 15.10.11 か 16.4.1 以降に更新する
- 更新できなければ Main.SolrSearchMacros を書き換える
- 使っている XWiki の版を確認する
用語メモ
- Wiki
- 複数の人がブラウザーから文章を書いたり直したりして、いっしょにページを作れるしくみです。
- ゲスト
- ログインしていない、だれでもアクセスできる状態の利用者のことです。
- マクロ 用語集で見る
- 決まった処理をひとまとめにして、名前で呼び出せるようにしたものです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
XWiki Platform Eval Injection Vulnerability
概要
XWiki Platform contains an eval injection vulnerability that could allow any guest to perform arbitrary remote code execution through a request to SolrSearch.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る