PoC لـ CVE-2025-24893 — تنفيذ التعليمات البرمجية عن بُعد في XWiki (PoC آمن)

PoC لـ CVE-2025-24893: استغلال ثغرة تنفيذ التعليمات البرمجية عن بُعد في XWiki للإصدارات الأقدم من 15.10.11 و16.4.1 و16.5.0RC1.

⚠️ هام — للاختبار المصرّح به فقط
يحتوي هذا المستودع على مشروع إثبات مفهوم (PoC) مخصّص للأغراض التعليمية واختبارات الثغرات المصرّح بها. لا تستخدم أي كود أو تقنيات استغلال ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها. قد يكون الاستخدام غير المصرّح به غير قانوني.

نظرة عامة

• CVE: CVE-2025-24893
• المنتج: XWiki Platform
• الإصدارات المتأثرة (المبلّغ عنها): الإصدارات الأقدم من 15.10.11 و16.4.1 و16.5.0RC1.
• الأثر: تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر حقن كود (Groovy) عندما تعرض نقاط نهاية معيّنة محتوى غير موثوق.
• الهدف من PoC: إثبات أن تنفيذ كود تعسّفي ممكن في بيئة خاضعة للتحكم — تمت تنقية هذا README والنصوص البرمجية المرتبطة به لاستخدام آمن ومسؤول.

ما يوفّره هذا المستودع (الوضع الآمن)

• نص برمجي PoC غير تخريبي يوضح كيف يمكن تحفيز حالة RCE، دون احتواء حمولات استغلال فعّالة (لا قذائف عكسية، ولا أسطر برمجية ضارة).
• أداة اختبار قوية لإرسال أوامر غير ضارة (مثل uname -a، echo "POC OK") إلى مثيل XWiki مستهدف تتحكم فيه.

المتطلبات

• Python 3.8+
• حزمة Python requests:

pip install requests