Vulnérabilité de randomisation de délimiteur form-data (CVE-2025-7783)

Largement basé sur https://hackerone.com/reports/2913312 par https://hackerone.com/parrot409?type=user

Installation :

• npm install
• Assurez-vous d'avoir python3 installé avec le module z3 (pip3 install -r requirements.txt) -- le code de l'exploit fait appel à python3 pour prédire la prochaine valeur aléatoire

Exécution :

En parallèle, exécutez :

• npm run start-backend (le serveur backend qui recevra la requête manipulée)
• npm run start-vulnerable-server (le serveur frontend qui peut être piégé pour envoyer une requête manipulée)
• npm run run-exploit (le code client qui fabrique et envoie l'exploit)

Dans la sortie standard de npm run backend, vous devriez voir une requête avec is_admin: true (bien que le code dans vulnerable-server.js n'ait jamais eu l'intention d'ajouter un paramètre is_admin à l'appel API)