dollarboysushil/cve-2025-24893-xwiki-unauthenticated-rce-exploit-pocCVE-2025-24893 は、XWiki（バージョン < 15.10.11、16.4.1、16.5.0RC1）における重大な未認証リモートコード実行の脆弱性であり、SolrSearchマクロ内のGroovy式の不適切な処理が原因で発生します。
⚠️ XWikiにおける未認証のリモートコード実行
🛠️ @dollarboysushilによるPoC実装
CVE-2025-24893は、XWikiにおける深刻なRCE脆弱性であり、SolrSearchマクロ内での安全でないGroovy式の処理に起因します。攻撃者は巧妙に細工されたGETリクエストを通じてGroovyコードを注入し、リモートコード実行を引き起こすことができます（認証不要）。
この脆弱性は、XWikiの**SolrSearchマクロ**（Main.SolrSearch）に存在し、安全でないGroovy評価を使用して検索入力を処理します。このマクロはユーザーが提供する入力をサニタイズしないため、任意のコード実行が可能になります。
/xwiki/bin/get/Main/SolrSearch?media=rss&text=
攻撃者はパラメータにGroovyコードを注入できます。これはマクロシステム内での不適切な入力処理によりサーバーサイドで評価されます。
text}}}{{async async=false}}{{groovy}}'id'.execute(){{/groovy}}{{/async}}
これにより、脆弱なXWikiインスタンス上で未認証の**リモートコード実行（RCE）**が引き起こされます。
脆弱なターゲットは、CVE-2025-24893の影響を受けるバージョン15.10.8を実行しているXWikiインスタンスです。
攻撃者のマシンでNetcatリスナーを起動し、リバースシェル接続をキャプチャします:
nc -lvnp 1337
エクスプロイトスクリプトCVE-2025-24893-dbs.pyを実行して、GroovyベースのRCEペイロードを脆弱なXWikiエンドポイントに配信します。
実行が成功すると、リバースシェルがリスナーに接続し、攻撃者にサーバーへのリモートアクセスを付与します。
