CVE-2025-24893

CVE-2025-24893 の PoC — XWiki リモートコード実行（安全な PoC） CVE-2025-24893 の PoC: 15.10.11 、16.4.1 、および 16.5.0RC1 より前のバージョン向けの XWiki リモートコード実行エクスプロイト。 ⚠️ 重要 — 許可されたテストのみ このリポジトリには、教育目的 および許可された脆弱性テスト を目的とした proof-of-concept （PoC）プロジェクトが含まれています。所有していない、または明示的な書面によるテスト許可を得ていないシステムに対して、エクスプロイトコードや手法を使用しないでください...

CVE-2025-24893

CVE-2025-24893 のエクスプロイト CVE-2025-24893 は、XWiki Platform に影響を及ぼす重大な未認証リモートコード実行 RCE 脆弱性です。 この欠陥により、認証を必要とせずに、ゲストユーザーが SolrSearch エンドポイントへの特別に細工された RSS リクエストを介して、任意の Groovy コード を注入・実行できます。 これは影響を受けるシステムの機密性、完全性、可用性 に直接影響します。 概要 影響を受けるバージョン: XWiki ≥ 5.3-milestone-2 から ⚠️ 免責事項:...

CVE-2024-31982

CVE-2024-31982 PoC およびバルクスキャナー 概要 CVE-2024-31982 の PoC: XWiki Platform のリモートコード実行 14.10.20。この PoC は、こちらの セキュリティアドバイザリ に基づいています。 使用方法 単一ターゲットスキャン 単一のターゲットエンドポイントをスキャンするには： root@kitploit: python CVE-2024-31982.py -u target バルクターゲットスキャン 複数のターゲットを一括スキャンするには： root@kitploit: python cve-2024-31982.py -f...

XWiki Platform - Cross-Site Scripting

XWiki Platform versions = 4.2-milestone-3 and = 16.5.0-rc-1 and = 17.0.0-rc-1 and = 4.2-milestone-3 and = 16.5.0-rc-1 and = 17.0.0-rc-1 and 17.3.0-rc-1 are vulnerable to reflected XSS in two templates. The vulnerability allows an attacker to execute malicious JavaScript code in the context of the...

XWiki - Information Disclosure

XWiki 16.7.0 to 16.10.11, 17.4.4, and 17.7.0 using XJetty contains an information disclosure vulnerability caused by exposed context allowing static access to files in webapp/ folder, letting attackers access sensitive files, exploit requires use of XJetty package. id: CVE-2025-55749 info: name:...

XWiki Platform - Path Traversal

XWiki Platform 4.2-milestone-2 through 16.10.6 contains a path traversal caused by improper access control in jsx and sx endpoints, letting remote attackers read configuration files, exploit requires no special privileges. id: CVE-2025-55748 info: name: XWiki Platform - Path Traversal author:...

XWiki Platform - Information Disclosure

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. In versions 6.1-milestone-2 through 16.10.6, configuration files are accessible through the webjars API. id: CVE-2025-55747 info: name: XWiki Platform - Information Disclosure author: Redmomn...

XWiki >= 6.2-milestone-1 - Cross-Site Scripting

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page XSS. It's possible to exploit the DeleteApplication page to perform a XSS, e.g. by using URL such as:...

XWiki Platform - SQL Injection

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. In versions 9.4-rc-1 through 16.10.5 and 17.0.0-rc-1 through 17.2.2, it's possible for anyone to inject SQL using the parameter sort of the getdeleteddocuments.vm. It's injected as is as an...

CVE-2026-33229

CVE-2026-33229 — Apache Velocity サンドボックス回避による XWiki RCE XWiki Platform におけるリモートコード実行の脆弱性です。スクリプト権限を持つ認証済みユーザーが、Velocity コンテキスト内に既に存在する事前インスタンス化されたオブジェクトを走査することで、Java Reflection を一切必要とせずに Apache Velocity サンドボックスを完全に回避できます。 📄 完全な技術詳細: youssefazefzaf.com/posts/cve 詳細...

cve-2025-24893

CVE-2025-24893 XWiki RCE エクスプロイト CVE-2025-24893 （XWiki Platform のリモートコード実行の脆弱性）を、Groovyベースの async マクロと設定可能なリバースシェルペイロードを用いて悪用する、シンプルな Python3 スクリプトです。 ⚠️ 警告: このツールは教育目的および許可されたテスト目的のみ で提供されます。所有していない、または明示的なテスト許可を得ていないシステムに対する不正な使用は、違法かつ非倫理的です。 目次 機能 必要条件 インストール 使用方法 検出とプロトコルフォールバック リバースシェルペイロード...

CVE-2025-24893

CVE-2025-24893 XWiki Platform の RCE 脆弱性に対する Bash POC スクリプト 使用例: netcat リスナーをセットアップします: root@kitploit: $ nc -nvlp 次にスクリプトを実行します: root@kitploit: $ chmod +x cve.sh $ ./cve.sh 影響を受けるバージョン: 5.4 から 15.10.11 まで 16.0.0 から 16.4.1 まで 免責事項 このツールは教育目的のみを対象としています。誤用に対して一切の責任を負いません。...

xwiki__xwiki-commons_CVE-2023-29201_14-5

XWiki Commons XWiki Commons son bibliotecas técnicas comunes a varios otros proyectos XWiki de nivel superior. Estas bibliotecas pueden ser utilizadas por proyectos fuera del ecosistema XWiki, son genéricas y no están relacionadas con el dominio wiki. XWiki Platform, XWiki Commons y XWiki Renderi...

CVE-2025-24893

CVE-2025-24893 XWiki RCE 취약점 분석 환경 구축 1. XWiki 15.10.10 환경 실행 root@kitploit: docker-compose up -d 2. XWiki 접속 URL: http://localhost:8080 초기 설정을 완료한 후 테스트 진행 초기 페이지 접속 후 관리자 계정 생생 xwiki 기본 extension 설치 사용자 script 권한 부여여 취약점 정보 CVE ID : CVE-2025-24893 제품 : XWiki Platform 버전 : 15.10.10 취약점 유형 :...

codeql-workshop-cve-2021-21380

Java 向け CodeQL ワークショップ: SQL インジェクションを見つける このワークショップでは、CVE-2021-21380 で文書化された XWiki プラットフォームの評価コンポーネントにおける SQL インジェクションを見つけるために、構文解析と意味解析を使用します。 Contents Java 向け CodeQL ワークショップ: SQL インジェクションを見つける Contents 前提条件とセットアップ手順 ローカルマシンの場合 インストール セットアップ手順 ワークショップ 学習内容 問題の説明 演習 演習 1 インターメッツォ 1 演習 2 演習 3...

CVE-2025-24893-

CVE-2025-24893- CVE-2025-24893 | XWikiプラットフォームにおけるリモートコード実行の脆弱性（概念実証）...

XWiki-Platform-RCE-CVE-2025-24893

XWiki 플랫폼 인증되지 않은 원격 코드 실행 익스플로잇 개요 이 스크립트는 CVE-2025-24893의 영향을 받는 XWiki Platform 버전을 대상으로 하는 익스플로잇의 Bash 구현을 재구성한 것입니다. SolrSearch 매크로의 템플릿 주입 결함을 통해 인증되지 않은 공격자가 임의의 Groovy 코드를 실행할 수 있는 치명적인 취약점을 활용합니다. 원래 Python 기반의 익스플로잇 구현은 여러 보안 연구자가 제작했으며, 여기서는 간소화된 실행 및 향상된 사용성을 위해 Bash 사용자에 맞게 조정되었습니다. 취...

xwiki__xwiki-commons_CVE-2022-24897_12-6-6

XWiki Commons XWiki Commons 是多个其他顶级 XWiki 项目共用的技术库。 这些库可被 XWiki 生态系统之外的项目使用，具有通用性，且与 wiki 领域无关。 XWiki Platform、XWiki Commons 和 XWiki Rendering 均属于 XWiki.org 软件工坊的一部分。它们一同发布并共享相同的版本。 文档 文档 API 开发专区 下载 XWiki Commons 的 JAR 包可在 中获取。 发布说明 请阅读我们的发布说明。 工具 持续集成 设置为每次提交都会启动构建 问题跟踪器 用于报告问题 开发流程 可查看我们用于构建...

XWiki < 4.10.20 - Remote code execution

XWiki Platform is a generic wiki platform. Starting in version 2.4-milestone-1 and prior to versions 4.10.20, 15.5.4, and 15.10-rc-1, XWiki's database search allows remote code execution through the search text. This allows remote code execution for any visitor of a public wiki or user of a close...

XWiki Platform - Remote Code Execution

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Improper escaping in the document SkinsCode.XWikiSkinsSheet leads to an injection vector from view right on that document to programming rights, or in other words, it is possible to execute...