fomovet/cve-2025-24893Exploit proof-of-concept per CVE-2025-24893, una vulnerabilità di esecuzione remota di codice non autenticata in XWiki tramite la gestione non sicura delle espressioni Groovy nella macro SolrSearch.
⚠️ Esecuzione remota di codice non autenticata in XWiki
🛠️ Implementazione del PoC di @dollarboysushil
CVE-2025-24893 è una vulnerabilità RCE critica in XWiki, causata dalla gestione non sicura delle espressioni Groovy all'interno della macro SolrSearch. Un attaccante può iniettare codice Groovy tramite una richiesta GET appositamente costruita, portando a esecuzione remota di codice (nessuna autenticazione richiesta).
La vulnerabilità risiede nella macro SolrSearch (Main.SolrSearch) di XWiki, che gestisce l'input di ricerca utilizzando una valutazione Groovy non sicura. La macro non sanitizza l'input fornito dall'utente, consentendo esecuzione di codice arbitrario.
/xwiki/bin/get/Main/SolrSearch?media=rss&text=
Un attaccante può iniettare codice Groovy nel parametro text, che viene valutato lato server a causa di una gestione impropria dell'input all'interno del sistema di macro.
}}}{{async async=false}}{{groovy}}'id'.execute(){{/groovy}}{{/async}}
Questo porta a esecuzione remota di codice (RCE) non autenticata sulle istanze XWiki vulnerabili.
Il target vulnerabile è un'istanza XWiki che esegue la versione 15.10.8, affetta da CVE-2025-24893.
Avviare un listener Netcat sulla macchina dell'attaccante per catturare la connessione della reverse shell:
nc -lvnp 1337
Eseguire lo script di exploit CVE-2025-24893-dbs.py per consegnare il payload RCE basato su Groovy all'endpoint XWiki vulnerabile.
Dopo un'esecuzione riuscita, la reverse shell si ricollegherà al listener, garantendo all'attaccante accesso remoto al server.
