ekultek/cve-2019-17625Working exploit code for CVE-2019-17625
Il existe une vulnérabilité XSS stockée dans rambox 0.6.9 due à des paramètres non nettoyés dans le champ name lorsqu'un utilisateur ajoute un service. Comme rambox tourne sur NodeJS, cela permet d'injecter des commandes système dans une balise <a> ou ``.
Note : Ce code n'a été testé que sur MacOS et peut nécessiter une reconfiguration pour d'autres systèmes d'exploitation
Le code de l'exploit créera un service (en utilisant discord comme base), le shell nécessite que le système ait mkfifo. Vous pouvez bien sûr remplacer la payload par celle de votre choix.
