Adobe Magento SessionReaper LFI PoC

Una simple prueba de concepto en Python que demuestra la vulnerabilidad CVE-2025-54236 (SessionReaper) que afecta a versiones vulnerables de Adobe Magento.

Solo con fines educativos y pruebas de seguridad autorizadas.

Características

• Normalización automática de URL de destino
• Generación aleatoria de form_key
• Automatización de solicitudes de carga de archivos
• Verificación de archivo cargado
• Guarda las cargas exitosas en success.txt
• Guarda los falsos positivos en falsepositive.txt
• Soporte de tiempo de espera y reintentos de conexión

Versiones Afectadas

• Magento 2.4.9-alpha2
• Magento 2.4.8-p2
• Magento 2.4.7-p7
• Magento 2.4.6-p12
• Magento 2.4.5-p14
• Magento 2.4.4-p15
• Versiones vulnerables anteriores

Requisitos

• Python 3.x

Instalar dependencias:

pip install requests urllib3

Uso

python ankamagento.py https://target.com payload.txt

Ejemplo:

python ankamagento.py https://example.com dxeiz.txt

Salida

• success.txt → Cargas verificadas exitosamente
• falsepositive.txt → Cargas que no se pudieron verificar

Descargo de responsabilidad

Este proyecto se proporciona solo con fines educativos y evaluaciones de seguridad autorizadas. El autor no asume ninguna responsabilidad por el uso indebido o no autorizado de este software.