hopgoblin

hopgoblin est un scanner pour les instances Adobe Experience Manager (AEM).
Il automatise une série de vérifications que nous effectuons fréquemment manuellement lors d'audits de sécurité.

Fonctionnalités

• Détecte les endpoints QueryBuilder exposés :
  • /bin/querybuilder.json
  • /bin/querybuilder.feed
• Exploite QueryBuilder pour :
  • énumérer les objets rep:User et les hashes de mots de passe divulgués
  • identifier les nœuds JCR accessibles en écriture
• SSRF via /services/accesstoken/verify
• XXE aveugle dans le gestionnaire de packages Jackrabbit (/crx/packmgr/service/exec.json)
• Injection Expression Language (EL) dans l'import cloudsettings
• Stratégies de mutation de chemins pour atteindre des endpoints derrière un parsing permissif
• Concurrence avec barre de progression (tqdm)
• Support du proxy (--proxy) pour une utilisation avec Burp/ZAP
• Écrit les résultats dans un fichier horodaté avec les URL de preuve de concept

Installation

Clonez le dépôt et installez les dépendances :

git clone https://github.com/assetnote/hopgoblin.git
cd hopgoblin
pip install -r requirements.txt

Prérequis :

• Python 3.8+
• requests
• tqdm

Utilisation

Cible unique

python hopgoblin.py https://aem-target.example

Exemple de sortie :

[.] Output will be saved to: hopgoblin_aem-target.example_20250923_123456.txt
Scanning https://aem-target.example
[+] Exposed JSON query builder - /bin/querybuilder.json
POC URL: https://aem-target.example/bin/querybuilder.json

summary
------------------------------------------------------------
https://aem-target.example
  exposed json query builder
------------------------------------------------------------

Plusieurs cibles

python hopgoblin.py -f targets.txt --threads 25 --ssrf-target collab.example.com

Avec proxy et débogage

python hopgoblin.py -f targets.txt --proxy http://127.0.0.1:8080 --debug

Options

usage: hopgoblin.py [-h] [-f FILE | url] [-t SSRF_TARGET] [-d] [-p PROXY] [--threads THREADS]

positional arguments:
  url                   Single target URL

optional arguments:
  -f, --file FILE       File containing target URLs (one per line)
  -t, --ssrf-target     Callback domain for SSRF/XXE checks
  -d, --debug           Enable debug output
  -p, --proxy           Proxy URL (e.g., http://127.0.0.1:8080)
  --threads THREADS     Number of threads (default: 10)

CVE

Au cours de nos recherches, nous avons identifié et signalé plusieurs vulnérabilités dans Adobe Experience Manager, auxquelles des CVE ont été attribuées :

• CVE-2025-54251
• CVE-2025-54249
• CVE-2025-54252
• CVE-2025-54250
• CVE-2025-54247
• CVE-2025-54248
• CVE-2025-54246

Pour plus de détails, consultez l'avis officiel d'Adobe :
Adobe Security Bulletin APSB25-90

Conférence

Cette recherche et cet outil ont été présentés à BSides Canberra 2025 :
Finding Critical Bugs in Adobe Experience Manager

Diapositives :