Fomovet/cve-2025-24893

# CVE-2025-24893 - XWiki 未授权 RCE 漏洞 POC ## 💡 概述 **CVE-2025-24893** 是 [XWiki](https://xwiki.org) 中的一个严重 RCE 漏洞，由 `SolrSearch` 宏内不安全的 Groovy 表达式处理引起。攻击者可以通过精心构造的 GET 请求注入 Groovy 代码，从而导致**远程代码执行**（无需身份验证）。 - **严重程度：** 严重 (CVSS 9.8) - **受影响版本：** < 15.10.11, 16.4.1, 16.5.0RC1 ## 🛠 技术分析 该漏洞存在于 XWiki 的 **`SolrSearch` 宏**（`Main.SolrSearch`）中，该宏使用不安全的 Groovy 求值来处理搜索输入。该宏未能对用户提供的输入进行过滤，从而导致**任意代码执行**。 ### 🔥 漏洞 Endpoint ``` /xwiki/bin/get/Main/SolrSearch?media=rss&text= ``` 攻击者可以将 Groovy 代码注入到 `text` 参数中，由于宏系统内对输入的处理不当，这些代码会在服务器端被执行。 ### 💥 Payload 示例 ``` }}}{{async async=false}}{{groovy}}'id'.execute(){{/groovy}}{{/async}} ``` 这会导致存在漏洞的 XWiki 实例发生未授权的**远程代码执行 (RCE)**。 ### 🔬 概念验证 (PoC) 演示 #### 🧪 目标环境 存在漏洞的目标是一个运行 `15.10.8` 版本的 XWiki 实例，该版本受 CVE-2025-24893 影响。  #### 📡 准备监听器 在攻击者的机器上启动一个 Netcat 监听器，以捕获反弹 shell 连接： ``` nc -lvnp 1337 ```  #### 🚀 启动 Exploit 运行 exploit 脚本 `CVE-2025-24893-dbs.py`，将基于 Groovy 的 RCE payload 投递到存在漏洞的 XWiki endpoint。  #### 💻 成功获取远程 Shell 访问权限 成功执行后，反弹 shell 将连接回监听器，从而授予攻击者对该服务器的远程访问权限。  ### 📚 参考资料 - OffSec 博客：[CVE-2025-24893 XWiki Groovy RCE](https://www.offsec.com/blog/cve-2025-24893/) - NVD 条目：[CVE-2025-24893](https://nvd.nist.gov/vuln/detail/CVE-2025-24893)

标签：CISA项目, PoC, RCE, 暴力破解, 逆向工具