hopgoblin

hopgoblin es un escáner para instancias de Adobe Experience Manager (AEM).
Automatiza una serie de comprobaciones que realizamos con frecuencia manualmente durante evaluaciones de seguridad.

Características

• Detecta endpoints expuestos de QueryBuilder:
  • /bin/querybuilder.json
  • /bin/querybuilder.feed
• Abusa de QueryBuilder para:
  • enumerar objetos rep:User y hashes de contraseñas filtrados
  • identificar nodos JCR escribibles
• SSRF a través de /services/accesstoken/verify
• XXE ciego en el administrador de paquetes de Jackrabbit (/crx/packmgr/service/exec.json)
• Inyección de Expression Language (EL) en la importación de cloudsettings
• Estrategias de mutación de rutas para detectar endpoints detrás de un parseo permisivo
• Concurrencia con barra de progreso (tqdm)
• Soporte de proxy (--proxy) para usar con Burp/ZAP
• Escribe los resultados en un archivo con marca de tiempo que incluye URLs de prueba de concepto

Instalación

Clona el repositorio e instala las dependencias:

git clone https://github.com/assetnote/hopgoblin.git
cd hopgoblin
pip install -r requirements.txt

Requisitos:

• Python 3.8+
• requests
• tqdm

Uso

Objetivo único

python hopgoblin.py https://aem-target.example

Ejemplo de salida:

[.] Output will be saved to: hopgoblin_aem-target.example_20250923_123456.txt
Scanning https://aem-target.example
[+] Exposed JSON query builder - /bin/querybuilder.json
POC URL: https://aem-target.example/bin/querybuilder.json

summary
------------------------------------------------------------
https://aem-target.example
  exposed json query builder
------------------------------------------------------------

Múltiples objetivos

python hopgoblin.py -f targets.txt --threads 25 --ssrf-target collab.example.com

Con proxy y depuración

python hopgoblin.py -f targets.txt --proxy http://127.0.0.1:8080 --debug

Opciones

usage: hopgoblin.py [-h] [-f FILE | url] [-t SSRF_TARGET] [-d] [-p PROXY] [--threads THREADS]

positional arguments:
  url                   Single target URL

optional arguments:
  -f, --file FILE       File containing target URLs (one per line)
  -t, --ssrf-target     Callback domain for SSRF/XXE checks
  -d, --debug           Enable debug output
  -p, --proxy           Proxy URL (e.g., http://127.0.0.1:8080)
  --threads THREADS     Number of threads (default: 10)

CVEs

Durante nuestra investigación, identificamos y reportamos varias vulnerabilidades en Adobe Experience Manager, a las que se les asignaron CVEs:

• CVE-2025-54251
• CVE-2025-54249
• CVE-2025-54252
• CVE-2025-54250
• CVE-2025-54247
• CVE-2025-54248
• CVE-2025-54246

Para más detalles, consulta el aviso oficial de Adobe:
Adobe Security Bulletin APSB25-90

Charla en conferencia

Esta investigación y esta herramienta se presentaron en BSides Canberra 2025:
Encontrando errores críticos en Adobe Experience Manager

Diapositivas: