amalmurali47/cve-2025-4664PoC und Einrichtung für CVE-2025-4664
Dieses Repository enthält einen Proof-of-Concept (PoC) zur Ausnutzung von CVE-2025-4664, einer Schwachstelle, bei der Chromium-basierte Browser vertrauliche URL-Parameter durch Preload-Anfragen im Link-Header preisgeben.
Eine detaillierte Erklärung der Funktionsweise dieses Exploits finden Sie im Blogbeitrag: https://amalmurali.me/posts/cve-2025-4664e.
Sehen Sie sich dieses Video an, um den Ablauf zu verstehen:
target.py – Angreifbare Webanwendungidp.py – SSO-Identitätsanbieterattacker.py – Bösartiger Server, der geleakte Tokens protokollierttemplates/ – HTML-Vorlagen für die Demostatic/ – Statische Assets (Logo, Avatar, CSS)python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt
Fügen Sie diese Einträge in Ihre /etc/hosts-Datei ein:
127.0.0.1 example.com
127.0.0.1 sso.example.com
127.0.0.1 attacker.test
Starten Sie alle drei Server in separaten Terminals (nach Aktivierung der virtuellen Umgebung):
# Terminal 1: Zielanwendung
python target.py
# Terminal 2: SSO-Identitätsanbieter
python idp.py
# Terminal 3: Angreifer-Server
python attacker.py
Dieses Repository dient ausschließlich Bildungszwecken. Die hier bereitgestellten Informationen sollen Entwicklern helfen, die Schwachstelle zu verstehen und ihre Systeme zu schützen. Nutzen Sie diesen Exploit nicht böswillig oder ohne Erlaubnis. Die Verwendung dieses PoC erfolgt auf eigenes Risiko. Der Autor haftet nicht für Schäden oder rechtliche Probleme, die aus der Nutzung dieser Informationen entstehen können.