CVE-2025-24893

CVE-2025-24893 的 PoC — XWiki 远程代码执行（安全 PoC） CVE-2025-24893 的 PoC： 针对 15.10.11 、16.4.1 及 16.5.0RC1 之前版本的 XWiki 远程代码执行漏洞利用。 ⚠️ 重要 — 仅限授权测试 本仓库包含一个 概念验证 （PoC）项目，仅供教育 和授权漏洞测试 使用。切勿 对不属于你或未经你明确书面许可测试的系统使用任何漏洞代码或技术。未经授权的使用可能违法。 概述 CVE： CVE-2025-24893 产品： XWiki 平台 受影响版本（已报告）： 15.10.11 、16.4.1 及 16.5.0RC1...

cve-2025-24893

CVE-2025-24893 Exploit de RCE en XWiki Un script sencillo en Python3 para explotar CVE-2025-24893 , una vulnerabilidad de ejecución remota de código en XWiki Platform, usando una macro asíncrona basada en Groovy y un payload de reverse shell configurable. ⚠️ ADVERTENCIA: Esta herramienta se...

CVE-2025-24893

CVE-2025-24893 漏洞利用 CVE-2025-24893 是一个影响 XWiki 平台 的 关键未认证远程代码执行 RCE 漏洞。 该漏洞允许任何访客用户通过向 SolrSearch 端点发送特制的 RSS 请求，在无需认证的情况下注入并执行任意 Groovy 代码 。 这直接影响受影响系统的 机密性、完整性和可用性 。 摘要 受影响版本: XWiki ≥ 5.3-milestone-2 至 ⚠️ 免责声明: 本代码仅供教育和研究目的使用。未经明确许可在系统上使用可能构成违法。 作者不对任何滥用或恶意行为负责。 概念验证 POC GET...

CVE-2020-13654

CVE-2020-13654 - XWiki Platform Discovered & reported by: Astaruf Full writeup: https://nstsec.com/en/posts/xwiki-xss-cve-2020-13654/ NVD entry: https://nvd.nist.gov/vuln/detail/CVE-2020-13654 Vulnerability XWiki Platform before version 12.8 does not apply HTML encoding to user-controlled fields ...

CVE-2025-24893

CVE-2025-24893 PoC | XWiki Platform 15.10.10 - 远程代码执行 一个 RCE（远程代码执行）类别的漏洞，当未经身份验证的攻击者可以在无需身份验证或先前访问权限（访客用户）的情况下远程执行任意 Groovy 代码时被发现。以下是针对此漏洞的 Python PoC（概念验证）。 安装。 1. 克隆仓库到您的机器。 git clone https://github.com/zs1n/CVE-2025-24893 2. 执行漏洞利用脚本。 python3 CVE-2025-24893.py -u -c 示例： python3...

CVE-2025-24893-EXP

CVE-2025-24893-EXP 受影响版本 xwiki-platform = 5.3-milestone-2, = 16.0.0-rc-1, 16.4.1 16.0.0-rc-1, 16.4.1 POC https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-24893.yaml CVE-2025-24893 - XWiki 平台利用 用法: python CVE-2025-24893.py -u -c 免责声明...

CVE-2024-31982

CVE-2024-31982 PoC 和批量扫描器 概述 CVE-2024-31982 的 PoC：XWiki 平台远程代码执行 14.10.20。此 PoC 基于此安全公告。 使用方法 单个目标扫描 扫描单个目标端点： python CVE-2024-31982.py -u target 批量目标扫描 批量扫描多个目标： python cve-2024-31982.py -f targets.txt 安装 最低要求 Python 3.6 或更高版本 requests 库 安装脚本 git clone https://github.com/bigb0x/CVE-2024-31982.gi...

CVE-2025-24893-

CVE-2025-24893- CVE-2025-24893 | XWiki平台远程代码执行漏洞（概念验证）...

XWiki - Information Disclosure

XWiki 16.7.0 to 16.10.11, 17.4.4, and 17.7.0 using XJetty contains an information disclosure vulnerability caused by exposed context allowing static access to files in webapp/ folder, letting attackers access sensitive files, exploit requires use of XJetty package. id: CVE-2025-55749 info: name:...

XWiki Platform - Path Traversal

XWiki Platform 4.2-milestone-2 through 16.10.6 contains a path traversal caused by improper access control in jsx and sx endpoints, letting remote attackers read configuration files, exploit requires no special privileges. id: CVE-2025-55748 info: name: XWiki Platform - Path Traversal author:...

XWiki Platform - Cross-Site Scripting

XWiki Platform versions = 4.2-milestone-3 and = 16.5.0-rc-1 and = 17.0.0-rc-1 and = 4.2-milestone-3 and = 16.5.0-rc-1 and = 17.0.0-rc-1 and 17.3.0-rc-1 are vulnerable to reflected XSS in two templates. The vulnerability allows an attacker to execute malicious JavaScript code in the context of the...

XWiki Platform - Information Disclosure

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. In versions 6.1-milestone-2 through 16.10.6, configuration files are accessible through the webjars API. id: CVE-2025-55747 info: name: XWiki Platform - Information Disclosure author: Redmomn...

XWiki >= 6.2-milestone-1 - Cross-Site Scripting

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page XSS. It's possible to exploit the DeleteApplication page to perform a XSS, e.g. by using URL such as:...

XWiki-Platform-RCE-CVE-2025-24893

XWiki Platform 未授权 RCE 漏洞利用工具 概述 本脚本是一个重新设计的 Bash 实现，用于利用受 CVE-2025-24893 影响的 XWiki Platform 版本。它利用了一个关键的未授权远程代码执行漏洞，该漏洞允许攻击者通过 SolrSearch 宏中的模板注入缺陷执行任意 Groovy 代码。 原始的 Python 漏洞利用实现由多位安全研究人员创建，此处针对 Bash 用户进行了改编，简化了执行流程并增强了可用性。 漏洞详情 发现者 ：John Kwak（Trend Micro 的 Zero Day Initiative） CVE...

xwiki__xwiki-commons_CVE-2022-24897_12-6-6

XWiki Commons XWiki Commons 是多个其他顶级 XWiki 项目共用的技术库。 这些库可被 XWiki 生态系统之外的项目使用，具有通用性，且与 wiki 领域无关。 XWiki Platform、XWiki Commons 和 XWiki Rendering 均属于 XWiki.org 软件工坊的一部分。它们一同发布并共享相同的版本。 文档 文档 API 开发专区 下载 XWiki Commons 的 JAR 包可在 中获取。 发布说明 请阅读我们的发布说明。 工具 持续集成 设置为每次提交都会启动构建 问题跟踪器 用于报告问题 开发流程 可查看我们用于构建...

xwiki__xwiki-commons_CVE-2023-29201_14-5

XWiki Commons XWiki Commons son bibliotecas técnicas comunes a varios otros proyectos XWiki de nivel superior. Estas bibliotecas pueden ser utilizadas por proyectos fuera del ecosistema XWiki, son genéricas y no están relacionadas con el dominio wiki. XWiki Platform, XWiki Commons y XWiki Renderi...

XWiki < 4.10.20 - Remote code execution

XWiki Platform is a generic wiki platform. Starting in version 2.4-milestone-1 and prior to versions 4.10.20, 15.5.4, and 15.10-rc-1, XWiki's database search allows remote code execution through the search text. This allows remote code execution for any visitor of a public wiki or user of a close...

xwiki__xwiki-commons_CVE-2023-31126_14-10-3

XWiki Commons XWiki Commons son bibliotecas técnicas comunes a varios otros proyectos de XWiki de nivel superior. Estas bibliotecas pueden ser utilizadas por proyectos fuera del ecosistema XWiki, son genéricas y no están relacionadas con el dominio wiki. XWiki Platform, XWiki Commons y XWiki...

CVE-2025-32429

CVE-2025-32429 XWiki SQL注入概念验证 作者： Byte Reaper Telegram： @ByteReaper0 CVE： CVE‑2025‑32429 漏洞： XWiki LiveData REST API中的盲SQL注入 受影响文件： getdeleteddocuments.vm sort参数 描述： XWiki平台LiveData REST端点在使用getdeleteddocuments.vm的sort参数时存在盲SQL注入漏洞。攻击者可注入任意SQL片段，利用基于时间的负载（SLEEP）或联合查询来枚举数据库内容。...

CVE-2026-33229

CVE-2026-33229 — RCE en XWiki mediante omisión del sandbox de Apache Velocity Una vulnerabilidad de ejecución remota de código en XWiki Platform que permite a un usuario autenticado con permisos de scripting omitir por completo el sandbox de Apache Velocity — sin necesidad de Reflection en Java —...