PoC pour CVE-2023-32749

Ceci est un PoC rapide et sale que j'ai écrit pour CVE-2023-32749 concernant Pydio Cells. Les scripts créent un nouveau compte utilisateur avec tous les rôles disponibles lorsqu'un identifiant valide est fourni.

Tout le crédit revient aux chercheurs originaux.

Installation

La seule exigence est le paquet requests de Python pour effectuer les requêtes web. S'il n'est pas installé sur votre système, cela peut être fait avec

pip3 install -r requirements.txt

Utilisation

exploit.py [-h] -u USER -p PASSWORD -l URL

PoC for PyDio Cells - CVE-2023-32749

options:
  -h, --help            show this help message and exit
  -u USER, --user USER
  -p PASSWORD, --password PASSWORD
  -l URL, --url URL

Références

• https://packetstormsecurity.com/files/172645/Pydio-Cells-4.1.2-Privilege-Escalation.html
• https://pydio.com/en/docs/developer-guide/rest-api

Encore une fois, tout le crédit revient au PoC original de RedTeam Pentesting GmbH

Avertissement

L'utilisation de ce script se fait aux risques de l'utilisateur. L'auteur ne saurait être tenu responsable de tout dommage ou usage abusif de ce script. Il incombe à l'utilisateur de s'assurer que le script est utilisé conformément à toutes les lois et réglementations applicables.