Kentico Xperience のパストラバーサルの脆弱性（CVE-2025-2749）

何が起きた

Kentico Xperience のステージング（サーバー間で内容を同期するしくみ）で、ログイン済みの利用者が、決められた場所の外へ任意の（攻撃者が好きに選べる）データをアップロードできる弱点が見つかりました。サーバー上で動く内容を置かれると、遠隔からコードを実行される可能性があります。NVD に登録された他の機関の評価では、ネットワーク経由で、管理者などの高い権限があれば悪用できます。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Kentico Xperience を使っている組織が影響を受けます。NVD の説明では 13.0.178 までが対象です。一方、Kentico のホットフィックス一覧では、ステージングのメディアファイルによるログイン後のコード実行は 13.0.177 以下が対象で、13.0.178 で修正されたと書かれており、両者の説明が食い違っています。

何をすればいい

Kentico の公式の案内（ホットフィックスの一覧）を確認し、最新のホットフィックスを当ててください。NVD は 13.0.178 も対象としているため、それより新しいホットフィックスになっているか確認すると安心です。あわせて、サーバーに見覚えのないファイルが置かれていないか調べてください。

やることチェックリスト

• Kentico Xperience に最新のホットフィックスを当てる
• 13.0.178 より新しいホットフィックスか確かめる
• サーバーに見覚えのないファイルがないか調べる

用語メモ

ステージング

あるサーバーで作った内容を、別のサーバーへ同期して反映するしくみです。

ホットフィックス 用語集で見る

不具合や弱点を直すために、メーカーが出す小さな修正プログラムです。

アップロード 用語集で見る

手元のファイルを、ネットワークを通してサーバーへ送ることです。