CVE-2025-24893
Mis à jour :
Exécution de Code à Distance dans XWiki via le Macro SolrSearch
Une faille critique de sécurité (CVE-2025-24893) a été identifiée dans la plateforme XWiki, permettant l’exécution de code à distance (RCE). Elle affecte le module SolrSearch en raison d’une validation insuffisante des entrées.
Les attaquants non authentifiés peuvent exploiter cette vulnérabilité en envoyant des requêtes HTTP spécialement conçues contenant un code malveillant. Le macro SolrSearch traite les paramètres de recherche, notamment pour les flux RSS, sans assainir correctement les caractères spéciaux des langages de script. L’injection d’expressions Groovy dans la requête permet d’exécuter du code arbitraire sur le serveur XWiki.
Les versions de XWiki Platform concernées sont :
- De la version 5.3-milestone-2 jusqu’à la version 15.10.11 (exclue).
- De la version 16.0.0-rc-1 jusqu’à la version 16.4.1.
Les points clés incluent :
- Type de vulnérabilité : Exécution de Code à Distance (RCE).
- Composant affecté : Macro SolrSearch.
- Cause : Insuffisance de la sanitisation des entrées dans le traitement des requêtes RSS.
- Impact : Permet l’exécution de code Groovy arbitraire par des attaquants non authentifiés.
Il est recommandé de mettre à jour XWiki Platform vers une version corrigée pour atténuer ce risque.