CVE-2025-24893

XWiki – Proof of Concept für nicht authentifizierte Remote-Codeausführung

Beschreibung der Schwachstelle

XWiki Platform ist eine generische Wiki-Plattform, die Laufzeitdienste für darauf aufbauende Anwendungen bereitstellt. Jeder Gast kann über eine Anfrage an SolrSearch beliebigen Code remote ausführen. Dies beeinträchtigt die Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Installation. Um dies auf einer Instanz zu reproduzieren, ohne angemeldet zu sein, rufen Sie <host>/xwiki/bin/get/Main/SolrSearch?media=rss&text=%7D%7D%7D%7B%7Basync%20async%3Dfalse%7D%7D%7B%7Bgroovy%7D%7Dprintln%28"Hello%20from"%20%2B%20"%20search%20text%3A"%20%2B%20%2823%20%2B%2019%29%29%7B%7B%2Fgroovy%7D%7D%7B%7B%2Fasync%7D%7D%20 auf. Wenn eine Ausgabe erfolgt und der Titel des RSS-Feeds Hello from search text:42 enthält, ist die Instanz verwundbar. Diese Schwachstelle wurde in XWiki 15.10.11, 16.4.1 und 16.5.0RC1 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. Benutzer, die kein Upgrade durchführen können, können Main.SolrSearchMacros in SolrSearchMacros.xml in Zeile 955 bearbeiten, um dem rawResponse-Makro in macros.vm#L2824 mit einem Inhaltstyp von application/xml zu entsprechen, anstatt lediglich den Inhalt des Feeds auszugeben.

So führen Sie es aus

python3 .\CVE-2025-24893.py -u http://vulnerable-endpoint.tld -c "whoami"