PoC-CVE-2024-44349

تم العثور على الثغرة واختبارها في Anteeo WMS - v4.7.31

تسمح الثغرة للمهاجمين بصياغة أمر SQL داخل معامل اسم المستخدم وكشف البيانات في قاعدة البيانات الأساسية. الإصدارات المتأثرة من ANTEEO B2B WMS هي من v.4.7.x إلى v.4.7.34 (مستبعدة).

الاستخدام

1. git clone [email protected]:AndreaF17/PoC-CVE-2024-44349.git
2. cd PoC-CVE-2024-44349
3. python3 -m venv venv
4. source venv/bin/activate
5. pip3 install -r requirements.txt
6. python3 ./main.py -t TARGET -m [MODE]

الأوضاع

قبل بدء أي MODE، يتحقق السكريبت مما إذا كان ANTEEO معرضًا للخطر ثم يتابع. الأوضاع المتاحة هي:

• dump: python3 ./main.py -t TARGET -m dump، تفريغ قاعدة البيانات.
• query: python3 ./main.py -t TARGET -m query، فتح شل حيث يمكنك إرسال استعلام SQL على الخادم.

دليل الأدوات المساعدة

داخل utils/utils.py توجد بعض الدوال لاستخراج البيانات من قاعدة البيانات.

شروط الاستخدام

تم تطوير إثبات المفهوم هذا لأغراض البحث والتعليم فقط. يتم توفيره "كما هو"، دون أي ضمانات، ولا يتحمل المؤلف أي مسؤولية عن أي ضرر ناتج عن استخدامه.

باستخدام إثبات المفهوم هذا، فإنك توافق على ما يلي:

• يجب استخدامه فقط في البيئات التي تمتلكها أو لديك إذن صريح باختبارها.
• أي استخدام خاطئ أو غير قانوني أو غير أخلاقي محظور تمامًا.
• لن يكون المؤلف مسؤولاً عن أي أضرار مباشرة أو غير مباشرة أو عرضية ناشئة عن استخدامه.

استخدمه على مسؤوليتك الخاصة وتأكد من الامتثال للقوانين المعمول بها.