CVE-2025-24893
Mis à jour :
Exécution de code à distance dans XWiki via le macro SolrSearch
Une vulnérabilité critique de type exécution de code à distance (RCE) a été découverte dans la plateforme XWiki. Affectant le macro SolrSearch, elle découle d’une validation insuffisante des entrées lors du traitement des requêtes de flux RSS. Des attaquants non authentifiés peuvent exploiter cette faille en envoyant une requête HTTP spécialement conçue, contenant un script Groovy malveillant. Ce script est alors exécuté sur le serveur XWiki avec les privilèges du processus serveur.
Points Clés :
- Nature de la vulnérabilité : Exécution de code à distance (RCE).
- Composant affecté : Macro SolrSearch.
- Cause : Absence de validation adéquate des entrées, particulièrement pour les caractères spéciaux des langages de script dans les paramètres de recherche, notamment lors des requêtes de flux RSS.
- Attaque possible : Injection de code Groovy arbitraire via des requêtes HTTP malveillantes.
Vulnérabilités :
- CVE-2025-24893
Versions Affectées :
- XWiki Platform versions 5.3-milestone-2 jusqu’à la version 15.10.10 incluse.
- XWiki Platform versions 16.0.0-rc-1 jusqu’à la version 16.4.1 incluse.
Recommandations :
Les utilisateurs de XWiki Platform doivent mettre à jour leur système vers une version corrigée afin de remédier à cette vulnérabilité. L’article ne précise pas explicitement les versions de correction, mais il est sous-entendu que les versions ultérieures à 15.10.11 et 16.4.1 sont sécurisées.