sectestannaquinn/grassmarlin-cve-2026-6807-xxe-pocIngénierie inversée basée sur la divulgation par la CISA d'une nouvelle CVE
Il s'agit d'un code de preuve de concept fonctionnel basé sur la divulgation par la CISA d'une vulnérabilité signalée dans Grassmarlin, publiée le 28/04/2026.
En examinant le code de Grassmarlin, j'ai déterminé que les paramètres probablement vulnérables concernaient les fichiers XML ingérés lors de l'ouverture de sessions stockées. En concevant des requêtes malveillantes, j'ai découvert que je pouvais provoquer une erreur dans la console de messages de Grassmarlin. La cause et le contenu de l'erreur étaient correctement supprimés de tous les journaux et sorties de Grassmarlin.
Cependant, l'exfiltration OOB de fichiers arbitraires était possible en référençant un hôte externe dans la DTD. Certaines réserves semblaient toutefois s'appliquer : les versions plus récentes de Java ne pouvaient pas être utilisées sur le système, ce qui signifie que Grassmarlin devait utiliser la version de Java incluse dans l'installateur. De plus, de nombreux types d'entrées provoquaient des erreurs qui entravaient le processus d'exfiltration. Pour contourner ce problème, le contenu était converti en base64 puis envoyé via plusieurs fragments de messages.
Bon amusement !
