CVE-2025-23167 – Exploit de contrabando de solicitudes HTTP en Node.js

Exploit funcional para CVE-2025-23167, una vulnerabilidad de contrabando de solicitudes que afecta a las versiones de Node.js 20.x anteriores a v20.19.2. Este error permite una terminación incorrecta de cabeceras HTTP, lo que permite a los atacantes eludir los controles de acceso basados en proxy.

Archivos

• exploit.py – Exploit basado en Python3 para la vulnerabilidad.
• lab.js – Servidor simple de Node.js para simular un entorno vulnerable.

Uso

Exploit

Para ejecutar el script del exploit:

• Ejecuta: python3 exploit.py <target-domain-or-ip> <port>

Entrada y Salida de Ejemplo

Configuración del Laboratorio

Para configurar el entorno de prueba:

• Asegúrate de usar Node.js v20.19.1 o inferior.
• Instala express (npm install express).
• Luego ejecuta node lab.js para iniciar el servidor.
• El servidor estará disponible en http://localhost:8989 (o el puerto que elijas).