CVE-2023-32749 | Pydio Cells अनधिकृत भूमिका असाइनमेंट

CVE-2023-32749 के लिए शोषण जो Pydio Cells 4.1.2 और पहले के संस्करणों को प्रभावित करता है। कम-विशेषाधिकार वाला एक प्रमाणित उपयोगकर्ता सभी भूमिकाओं के साथ एक नया बाहरी उपयोगकर्ता बना सकता है, जो सभी सेल्स और गैर-व्यक्तिगत कार्यक्षेत्रों तक पहुंच प्रदान करता है।

प्रभावित संस्करण

• Pydio Cells 4.1.2 और पहले के संस्करण
• 4.2.0, 4.1.3, 3.0.12 में ठीक किया गया

आवश्यकताएँ

pip install requests

उपयोग

एक प्रमाणित सत्र से Bearer टोकन प्राप्त करें (DevTools > Network > कोई भी /a/ अनुरोध > Authorization हेडर), फिर चलाएँ:

python3 pydio_privesc.py <url> <token> <new_username> <new_password>

उदाहरण:

python3 pydio_privesc.py https://cells.example.com "token_here" pwned Pwned123!

सभी साझा सेल्स और कार्यक्षेत्रों तक पहुंचने के लिए नवनिर्मित खाते से Pydio वेब UI में लॉग इन करें।

अस्वीकरण

यह उपकरण केवल अधिकृत पैठ परीक्षण और शैक्षिक उद्देश्यों के लिए है। उन प्रणालियों के विरुद्ध उपयोग न करें जिनका परीक्षण करने की आपको स्पष्ट अनुमति नहीं है।