PoC para CVE-2023-32749

Este es un PoC rápido y sucio que escribí para CVE-2023-32749 de Pydio Cells. Los scripts crean una nueva cuenta de usuario con todos los roles disponibles cuando se proporciona una credencial válida.

Todo el crédito es para los investigadores originales.

Instalación

El único requisito es el paquete requests de Python para realizar las peticiones web. Si no está instalado en tu sistema, se puede hacer con

pip3 install -r requirements.txt

Uso

exploit.py [-h] -u USER -p PASSWORD -l URL

PoC for PyDio Cells - CVE-2023-32749

options:
  -h, --help            show this help message and exit
  -u USER, --user USER
  -p PASSWORD, --password PASSWORD
  -l URL, --url URL

Referencias

• https://packetstormsecurity.com/files/172645/Pydio-Cells-4.1.2-Privilege-Escalation.html
• https://pydio.com/en/docs/developer-guide/rest-api

Una vez más, todo el crédito es para el PoC original de RedTeam Pentesting GmbH

Descargo de responsabilidad

El uso de este script es bajo el propio riesgo del usuario. El autor no será responsable de ningún daño o mal uso de este script. Es responsabilidad del usuario asegurarse de que el script se utilice de conformidad con todas las leyes y regulaciones aplicables.