PoC für CVE-2023-32749

Dies ist ein schneller und unsauberer PoC, den ich für CVE-2023-32749 für Pydio Cells geschrieben habe. Das Skript erstellt ein neues Benutzerkonto mit allen verfügbaren Rollen, sobald eine gültige Anmeldeinformation bereitgestellt wird.

Alle Credits gehen an die ursprünglichen Forscher.

Installation

Die einzige Voraussetzung ist das requests-Paket von Python, um die Webanfragen zu stellen. Falls es nicht auf Ihrem System installiert ist, kann dies mit folgendem Befehl erledigt werden:

pip3 install -r requirements.txt

Verwendung

exploit.py [-h] -u USER -p PASSWORD -l URL

PoC for PyDio Cells - CVE-2023-32749

options:
  -h, --help            show this help message and exit
  -u USER, --user USER
  -p PASSWORD, --password PASSWORD
  -l URL, --url URL

Referenzen

• https://packetstormsecurity.com/files/172645/Pydio-Cells-4.1.2-Privilege-Escalation.html
• https://pydio.com/en/docs/developer-guide/rest-api

Erneut gehen alle Credits an den ursprünglichen PoC von RedTeam Pentesting GmbH.

Haftungsausschluss

Die Nutzung dieses Skripts erfolgt auf eigene Gefahr des Benutzers. Der Autor übernimmt keine Haftung für Schäden oder Missbrauch dieses Skripts. Es liegt in der Verantwortung des Benutzers, sicherzustellen, dass das Skript in Übereinstimmung mit allen anwendbaren Gesetzen und Vorschriften verwendet wird.