js2py Sandbox Escape (CVE-2024-28397)

Exploit zur Remote-Befehlsausführung (RCE) durch Sandbox-Escape in js2py <= 0.74.

Ermöglicht die Ausführung von beliebigem Code auf dem Zielsystem durch unsichere JavaScript-Auswertung.

Schwachstelle

• CVE: CVE-2024-28397
• Komponente: js2py
• Betroffene Versionen: <= 0.74
• Auswirkung: Remote Code Execution
• Vektor: JavaScript-Sandbox-Escape
• Schwachstellenanalyse: CVE-2024-28397-js2py-Sandbox-Escape

Eigenschaften

• Sandbox-Escape
• Befehlsausführung über subprocess.Popen
• Reverse Shell
• Keine externen Abhängigkeiten auf dem Ziel

Voraussetzungen

• Python 3.8+
• Zugriff auf einen verwundbaren Endpunkt, der JS mit js2py auswertet

Abhängigkeiten:

pip install -r requirements.txt

Verwendung

python3 exploit.py -U http://target_url -H IP -P PUERTO

Rechtlicher Hinweis

Dieses Projekt dient ausschließlich zu Bildungszwecken und für autorisierte Sicherheitsaudits.

Der Autor übernimmt keine Verantwortung für die missbräuchliche Verwendung dieses Tools.