CVE-2026-60206 – PoC de omisión de autenticación SAML en Oracle WebLogic Server

Este repositorio proporciona un exploit de prueba de concepto para CVE‑2026‑60206, una vulnerabilidad crítica de omisión de autenticación en la implementación SAML de Oracle WebLogic Server. La falla permite que un atacante remoto con bajos privilegios comprometa completamente el servidor mediante la falsificación de aserciones SAML.

⚠️ Aviso legal: Esta herramienta está destinada únicamente a investigación y pruebas de seguridad autorizadas. Úsala solo contra sistemas que poseas o sobre los que tengas permiso explícito para realizar pruebas. Los autores no asumen responsabilidad alguna por el mal uso.

🔥 Descripción general de la vulnerabilidad

CVE-2026-60206 afecta al componente Core de Oracle WebLogic Server. La vulnerabilidad se origina en un manejo incorrecto de la autenticación en la implementación del protocolo SAML. Múltiples vectores de ataque —como XML Signature Wrapping (XSW), aceptación de aserciones sin firmar, manipulación de NameID y omisión de audiencia/condiciones— permiten a un atacante suplantar a usuarios arbitrarios (p. ej., weblogic) y obtener acceso administrativo.

Versiones afectadas:

• 12.2.1.4.0
• 14.1.1.0.0
• 14.1.2.0.0
• 15.1.1.0.0

El PoC implementa los siguientes vectores de ataque:

• XML Signature Wrapping (XSW) – manipulación estructural para lograr que el procesador SAML acepte una aserción sin firmar.
• Inyección de aserción sin firmar – crear una respuesta SAML completamente sin firma (si WantAssertionsSigned no está aplicado).
• Manipulación de NameID – confundir el mapeador de identidad mediante comentarios XML, espacios en blanco o confusión de formato.
• Omisión de restricción de audiencia – eliminar o modificar AudienceRestriction para ampliar el alcance.
• Omisión de condiciones/tiempo – manipular NotBefore/NotOnOrAfter para evadir las comprobaciones de validez.
• Ataque combinado – XSW + aserción interna sin firmar + manipulación de NameID (el que tiene más probabilidades de éxito).
• Replay – reproducir una respuesta SAML capturada con destino/destinatario modificado.

✨ Características

• Múltiples modos de ataque – elegir entre all, unsigned, xsw, nameid, audience, conditions, combo o replay.
• Escaneo masivo – detección concurrente y explotación opcional en numerosos objetivos (mediante -l).
• Detección de versión – identificar con precisión la versión de WebLogic mediante cabeceras, páginas de error y WSDL.
• Sondeo de endpoints SAML – descubrir automáticamente los endpoints SAML ACS, de metadatos y de inicio por SP.
• Soporte para Tor – enrutar el tráfico a través de Tor (SOCKS5/HTTP/SOCKS4) para mantener el anonimato.
• Reproducción de peticiones HTTP crudas – enviar peticiones HTTP crudas arbitrarias desde un archivo (-r).
• Soporte HTTP/2 – usar automáticamente httpx si está instalado y recurrir a requests (HTTP/1.1) en caso contrario.
• Rotación de User‑Agent – usar un User‑Agent aleatorio o personalizado.
• Soporte de proxy – enviar todas las peticiones a través de un proxy HTTP/SOCKS.
• Personalización de peticiones – establecer timeouts, reintentos y retardos, desactivar redirecciones y reintentar según un patrón regex.
• Guardado de payloads – guardar en disco los payloads SAML generados (--save-payloads).
• Comprobación de vulnerabilidad (-c / --check) – determinar rápidamente si un objetivo es vulnerable (sin explotación).
• Informe de salida JSON/CSV – resultados estructurados para escaneos masivos.
• Registro detallado (verbose) – salida de depuración detallada con consola en color.

📦 Instalación

git clone https://github.com/Debajyoti0-0/CVE-2026-60206.git
cd CVE-2026-60206
pip install -r requirements.txt

Requerido: requests, urllib3

Opcional (mejora la funcionalidad):

• httpx – para soporte HTTP/2
• lxml – para un análisis SAML mejorado
• signxml, cryptography – para el manejo de firmas (no es necesario para la explotación)

🚀 Uso

Objetivo único – solo detección

python CVE-2026-60206.py -t https://192.168.1.100:7002 --detect

Objetivo único – ejecutar todos los vectores de ataque

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode all -u weblogic

Objetivo único – modo de ataque específico

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode combo -u admin

Escaneo masivo – detectar versiones desde un archivo

python CVE-2026-60206.py -l targets.txt -o results.json

Escaneo masivo – detectar + explotar

python CVE-2026-60206.py -l targets.txt --exploit -o results.csv --threads 20

Reproducir una respuesta SAML capturada

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode replay --replay-file captured.xml

Usar Tor y comprobar la conectividad

python CVE-2026-60206.py -t https://192.168.1.100:7002 --tor --check-tor

Enviar una petición HTTP cruda desde un archivo

python CVE-2026-60206.py -t https://192.168.1.100:7002 -r request.txt --method POST

Comprobación rápida de vulnerabilidad (sin explotación)

python CVE-2026-60206.py -t https://192.168.1.100:7002 -c

⚙️ Referencia de flags

Opciones:

Flag	Descripción
-h, --help	Muestra el mensaje de ayuda y sale.
--proxy PROXY	URL del proxy (se sobrescribe con --tor si se usa).
--no-verify	Desactiva la verificación del certificado SSL.
--cookie COOKIE	Cookie(s) de sesión (p. ej., name=value; name2=value2).
--auth AUTH	Credenciales de autenticación básica (USER:PASS).

Objetivo:

Flag	Descripción
-t, --target TARGET	URL de un único objetivo (p. ej., https://host:7002).
-l, --list LIST	Archivo de lista de objetivos para el escaneo masivo, o una URL única.
-f, --file FILE	Alias de --list.

Opciones de petición:

Flag	Descripción
-r, --requestfile REQUESTFILE	Carga una petición HTTP cruda desde un archivo (reemplaza los ataques SAML).
--method METHOD	Método HTTP a usar (para petición cruda o petición única; por defecto: GET).
--random-agent	Usa un User‑Agent aleatorio de la lista incorporada.
-A, --user-agent USER_AGENT	Valor personalizado para la cabecera User‑Agent.
--tor	Usa la red de anonimato Tor (SOCKS5 por defecto).
--tor-port TOR_PORT	Puerto del proxy Tor (por defecto: 9050).
--tor-type {HTTP,SOCKS4,SOCKS5}	Tipo de proxy Tor (por defecto: SOCKS5).
--check-tor	Comprueba si Tor se usa correctamente (sale con un veredicto).
--delay DELAY	Retardo en segundos entre cada petición.
--timeout TIMEOUT	Tiempo de espera en segundos (por defecto: 30).
--retries RETRIES	Número de reintentos ante timeouts/errores (por defecto: 3).
--retry-on RETRY_ON	Reintenta la petición si el contenido de la respuesta coincide con el regex (p. ej., 'captcha').
-dr, --disable-redirects	Desactiva el seguimiento de redirecciones HTTP.