Laravel Livewire のコードインジェクションの脆弱性（CVE-2025-54068）

何が起きた

Laravel 用のフレームワーク Livewire v3 で、部品（コンポーネント）のプロパティの更新を受け取って組み立て直す処理に弱点が見つかりました。部品が特定のやり方で設定されている場合に、ログインしていない攻撃者が離れた場所から命令を実行できるおそれがあります。NVD の評価では、ネットワーク経由で、権限も被害者の操作もなしに悪用できるとされています。この弱点は実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Livewire v3 を使っている Web サイトやアプリが対象で、v3.6.3 以前が影響を受けます。この弱点は Livewire v3 だけのもので、それより前のメジャーバージョンは影響を受けません。

何をすればいい

Livewire を v3.6.4 以降に更新されているか確認してください。公式の勧告では、知られている回避策はないとされているため、更新がいちばん大切です。メーカー（ベンダー）の公式の案内を確認し、それに従ってできるだけ早く更新してください。

やることチェックリスト

• Livewire の版が v3.6.3 以前か調べる
• Livewire を v3.6.4 以降に更新する
• 更新後にサイトが正しく動くか試験する

用語メモ

フレームワーク

アプリを作るときの土台となる、よく使う機能をまとめた仕組みです。

コンポーネント

画面やアプリを組み立てる部品の一つひとつです。

プロパティ

部品が持っている値や設定のことです。