CVE-2018-15133
Laravel अविश्वसनीय डेटा डिसीरियलाइज़ेशन भेद्यता
- प्रकाशित
- 9 अग॰ 2018
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 16 जुल॰ 2019
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.5%
- मॉडल दिनांक
- 15 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Laravel Framework के 5.5.40 तक और 5.6.x से 5.6.29 तक के संस्करणों में, संभावित रूप से अविश्वसनीय X-XSRF-TOKEN मान पर unserialize कॉल के परिणामस्वरूप रिमोट कोड एक्ज़ीक्यूशन हो सकता है। इसमें Illuminate/Encryption/Encrypter.php में decrypt मेथड और phpggc में gadgetchains/Laravel/RCE/3/chain.php में PendingBroadcast शामिल है। हमलावर को एप्लिकेशन कुंजी (application key) का पता होना चाहिए, जो सामान्यतः कभी नहीं होता, लेकिन यदि हमलावर के पास पहले विशेषाधिकार प्राप्त पहुँच थी या उसने पहले कोई हमला सफलतापूर्वक अंजाम दिया था, तो ऐसा हो सकता है।
स्रोत
modules/exploits/unix/http/laravel_token_unserialize_exec.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Unix($.exploit_unix/http/laravel_token_unserialize_exec.platform)
- verification: check_declared($.exploit_unix/http/laravel_token_unserialize_exec.check)
- cve-2018-15133एक्सप्लॉइट
CVE-2018-15133 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट जो जाली API कुंजियों के साथ असुरक्षित डीसेरिएलाइज़ेशन का दुरुपयोग करके Laravel अनुप्रयोगों पर रिमोट कमांड निष्पादन प्राप्त करता है।
- exploit_laravel_cve-2018-15133एक्सप्लॉइट
API_KEY के साथ Laravel रिमोट कोड एक्सेक्यूशन के लिए एक्सप्लॉइट (CVE-2018-15133)
- CVE-2018-15133एक्सप्लॉइट
# CVE-2018-15133 के लिए शोषण उपकरण, एक Laravel unserialize RCE, जिसमें कमजोर एंडपॉइंट्स को स्कैन करने और शोषण करने के लिए मल्टीप्रोसेसिंग समर्थन है।
CVE-2018-15133 (Laravel Framework टोकन unserialize RCE) के लिए प्रतिलिपि योग्य Docker लैब, जिसमें एक ज्ञात APP_KEY और परीक्षण exploit payloads के लिए एक /poc रूट शामिल है।
CVE-2018-15133 (Laravel unserialize भेद्यता) के लिए PoC
- CVE-2018-15133-PoCएक्सप्लॉइट
# CVE-2018-15133 के लिए Python एक्सप्लॉइट कमजोर Laravel अनुप्रयोगों पर एन्क्रिप्टेड सत्रों के असुरक्षित डिसीरियलाइज़ेशन के माध्यम से ज्ञात APP_KEY का उपयोग करके रिमोट कोड निष्पादन प्राप्त करना।
- Larascriptएक्सप्लॉइट
Laravel RCE एक्सप्लॉइट। CVE-2018-15133
CVE-2018-15133 Laravel APP_KEY unserialization भेद्यता के लिए Docker-आधारित PoC वातावरण। Laravel <= 5.7.27 पर दुर्भावनापूर्ण पेलोड के माध्यम से रिमोट कोड निष्पादन को सत्यापित करने के लिए एक्सप्लॉइट स्क्रिप्ट शामिल है।
CVE 2018-15133 के लिए एक स्वचालित PoC
- Laravel-CVE-2018-15133एक्सप्लॉइट
यह पायथन एक्सप्लॉइट आपको साइटों की सूची बनाने और उन्हें जल्दी से शोषण करने की अनुमति देगा।
- laravel-rce-cve-2018-15133एक्सप्लॉइट
CVE-2018-15133 (Webased)
CVE-2017-5941 के साथ डिसेरिएलाइज़ेशन एक्सप्लॉइट का निष्पादन
- CVE-2018-15133-Lavel-Expliotएक्सप्लॉइट
"Lavel Exploit CVE-2018-15133 एक शक्तिशाली एक्सप्लॉइट है जो हमलावरों को कमजोर सिस्टम तक अनधिकृत पहुंच प्राप्त करने की अनुमति देता है। यह एक्सप्लॉइट मूल रूप से एक कैप्चर द फ्लैग (CTF) चुनौती के हिस्से के रूप में विकसित किया गया था और तब से सुरक्षा शोधकर्ताओं और नैतिक हैकर्स द्वारा वेब अनुप्रयोगों में कमजोरियों की पहचान करने और उन्हें दूर करने के लिए उपयोग किया जा रहा है।
Metasploit · linux · 16 जुल॰ 2019
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।