CVE-2024-28397
Un problème dans le composant js2py.disable_pyimport() de js2py jusqu'à la v0.74 permet aux attaquants d'exécuter du code arbitraire via un appel API...
- Publié
- 20 juin 2024
- Mise à jour
- 2 août 2024
- Attribution de CNA
- mitre
- Preuve observée
- 30 avr. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:LFaible · 30 prochains jours
- Percentile
- 91,5 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Un problème dans le composant js2py.disable_pyimport() de js2py jusqu'à la v0.74 permet aux attaquants d'exécuter du code arbitraire via un appel API spécialement conçu.
Sources
modules/exploits/linux/http/pyload_js2py_cve_2024_39205.rb
Metasploit Framework modulesConditions déclarées
- platform: Linux,Unix($.exploit_linux/http/pyload_js2py_cve_2024_39205.platform)
- verification: check_declared($.exploit_linux/http/pyload_js2py_cve_2024_39205.check)
http/cves/2024/CVE-2024-28397.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
# Scripts d'exploitation pour CVE-2024-28397, une évasion de sandbox js2py qui exécute du code Python arbitraire pour lancer un shell inversé sur un point de terminaison cible.
- CVE-2024-28397-exploitExploit
Évasion de sandbox js2py <= 0.74 (CVE-2024-28397)
- CVE-2024-28397-Js2Py-RCEExploit
Ce dépôt contient une preuve de concept (PoC) pour CVE-2024-28397, une vulnérabilité dans la bibliothèque js2py permettant une évasion de sandbox afin d'obtenir une exécution de code à distance.
Cette vulnérabilité provient d'un sandboxing incomplet dans js2py, où du JavaScript spécialement conçu peut parcourir le modèle d'objets internes de Python et accéder à des classes dangereuses comme subprocess.Popen, conduisant à l'exécution de commandes arbitraires.
- CVE-2024-28397Exploit
Ce dépôt contient un code d'exploitation en Python pour CVE-2024-28397, destiné à être utilisé sur la machine « CodePartTwo » de Hack The Box (HTB).
- CVE-2024-28397-js2py-Sandbox-EscapeRecherche
Analyse détaillée de la CVE-2024-28397, une vulnérabilité d'évasion de sandbox dans js2py permettant une exécution de code à distance via le parcours d'objets Python. Comprend une analyse de code, un PoC et des recommandations de correctifs pour la recherche défensive.
- CVE-2024-28397-RCEExploit
Script d'exploitation Python pour CVE-2024-28397 ciblant js2py <= v0.74. Prend en charge le reverse shell et l'exécution de commandes personnalisées via un point de terminaison HTTP.
Un script d'automatisation en Python pour exploiter la vulnérabilité **js2py Sandbox Escape** (CVE-2024-28397). Cet outil automatise le processus de génération et de livraison de la charge utile pour obtenir une exécution de code à distance (RCE) sur les instances vulnérables.
- exploit-js2pyExploit
La vulnérabilité CVE-2024-28397 affecte les versions de js2py jusqu'à la v0.74, une bibliothèque Python qui permet d'exécuter du code JavaScript au sein de l'interpréteur Python.
Exploit PoC pour CVE-2024-28397 – Exécution de code à distance dans pyload-ng via évasion du sandbox js2py
Exploit de preuve de concept pour CVE-2024-28397, une évasion de sandbox dans js2py permettant l'exécution de code à distance via du JavaScript malveillant, avec un correctif de patch dynamique.
CVE-2024-28397 : évasion de la sandbox js2py, contournement de la restriction pyimport.
- CVE-2024-28397-Reverse-ShellExploit
Shell inversé pour CVE-2024-28397.
- CVE-2024-28397-RCEExploit
CVE-2024-28397 - Exécution de code à distance à partir de JS2PY vulnérable
Exploit professionnel pour CVE-2024-28397 : évasion du sandbox Js2Py menant à une exécution de code à distance (RCE). Inclut la génération modulaire de payloads.
- CVE-2024-28397-Js2Py-RCEExploit
Génère des payloads JavaScript pour exploiter l'évasion de sandbox Js2Py CVE-2024-28397, permettant l'exécution de commandes à distance et des shells inversés via l'exposition des internes de Python.
Pyload RCE avec évasion du sandbox js2py
- Js2Py 0.74 - RCEExploit
alisunbul · multiple · 30 avr. 2026
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.