CVE-2026-60206 – PoC per il bypass dell'autenticazione SAML in Oracle WebLogic Server

Questo repository fornisce un exploit proof-of-concept per CVE-2026-60206, una vulnerabilità critica di bypass dell'autenticazione nell'implementazione SAML di Oracle WebLogic Server. La falla consente a un attaccante remoto con privilegi bassi di compromettere completamente il server falsificando le asserzioni SAML.

⚠️ Disclaimer: Questo strumento è destinato esclusivamente a ricerca e test di sicurezza autorizzati. Usalo solo contro sistemi di tua proprietà o per i quali hai un'autorizzazione esplicita. Gli autori declinano ogni responsabilità per un uso improprio.

🔥 Panoramica della vulnerabilità

CVE-2026-60206 interessa il componente Core di Oracle WebLogic Server. La vulnerabilità deriva da una gestione impropria dell'autenticazione nell'implementazione del protocollo SAML. Molteplici vettori d'attacco — come XML Signature Wrapping (XSW), accettazione di asserzioni non firmate, manipolazione di NameID e bypass di audience/conditions — consentono a un attaccante di impersonare utenti arbitrari (ad es. weblogic) e ottenere accesso amministrativo.

Versioni interessate:

• 12.2.1.4.0
• 14.1.1.0.0
• 14.1.2.0.0
• 15.1.1.0.0

Il PoC implementa i seguenti vettori d'attacco:

• XML Signature Wrapping (XSW) – manipolazione strutturale per far accettare al processore SAML un'asserzione non firmata.
• Iniezione di asserzioni non firmate – crea una risposta SAML completamente non firmata (se WantAssertionsSigned non è applicato).
• Manipolazione di NameID – confonde l'identity mapper tramite commenti XML, spazi bianchi o confusione di formato.
• Bypass delle restrizioni Audience – rimuove o modifica AudienceRestriction per ampliare l'ambito.
• Bypass di Conditions/Tempo – manipola NotBefore/NotOnOrAfter per aggirare i controlli di validità.
• Attacco combinato – XSW + asserzione interna non firmata + manipolazione di NameID (con maggiori probabilità di successo).
• Replay – riproduce una risposta SAML catturata con destinazione/recipient modificati.

✨ Funzionalità

• Molteplici modalità d'attacco – scegli tra all, unsigned, xsw, nameid, audience, conditions, combo o replay.
• Scansione di massa – rilevamento concorrente e sfruttamento opzionale su molti target (tramite -l).
• Rilevamento della versione – identifica con precisione la versione di WebLogic tramite header, pagine di errore e WSDL.
• Sondaggio degli endpoint SAML – scopre automaticamente endpoint ACS, metadata e SP‑initiated SAML.
• Supporto Tor – instrada il traffico tramite Tor (SOCKS5/HTTP/SOCKS4) per l'anonimato.
• Replay di richieste HTTP grezze – invia richieste HTTP grezze arbitrarie da un file (-r).
• Supporto HTTP/2 – usa automaticamente httpx se installato, altrimenti ripiega su requests (HTTP/1.1).
• Rotazione dello User‑Agent – usa uno User‑Agent casuale o personalizzato.
• Supporto proxy – invia tutte le richieste tramite un proxy HTTP/SOCKS.
• Personalizzazione delle richieste – imposta timeout, tentativi, ritardi, disabilita i redirect e ripeti in base a un pattern regex.
• Salvataggio dei payload – salva su disco i payload SAML generati (--save-payloads).
• Controllo di vulnerabilità (-c / --check) – determina rapidamente se un target è vulnerabile (non exploit).
• Output di report JSON/CSV – risultati strutturati per le scansioni di massa.
• Logging verboso – output di debug dettagliato con console colorata.

📦 Installazione

git clone https://github.com/Debajyoti0-0/CVE-2026-60206.git
cd CVE-2026-60206
pip install -r requirements.txt

Richiesti: requests, urllib3

Opzionali (migliorano le funzionalità):

• httpx – per il supporto HTTP/2
• lxml – per un parsing SAML potenziato
• signxml, cryptography – per la gestione delle firme (non richiesti per lo sfruttamento)

🚀 Utilizzo

Target singolo – solo rilevamento

python CVE-2026-60206.py -t https://192.168.1.100:7002 --detect

Target singolo – esegui tutti i vettori d'attacco

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode all -u weblogic

Target singolo – modalità d'attacco specifica

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode combo -u admin

Scansione di massa – rileva le versioni da file

python CVE-2026-60206.py -l targets.txt -o results.json

Scansione di massa – rileva + sfrutta

python CVE-2026-60206.py -l targets.txt --exploit -o results.csv --threads 20

Replay di una risposta SAML catturata

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode replay --replay-file captured.xml

Usa Tor e verifica la connettività

python CVE-2026-60206.py -t https://192.168.1.100:7002 --tor --check-tor

Invia una richiesta HTTP grezza da file

python CVE-2026-60206.py -t https://192.168.1.100:7002 -r request.txt --method POST

Controllo rapido di vulnerabilità (non exploit)

python CVE-2026-60206.py -t https://192.168.1.100:7002 -c

⚙️ Riferimento delle flag

Opzioni:

Flag	Description
-h, --help	Mostra il messaggio di aiuto ed esci.
--proxy PROXY	URL del proxy (sostituito da --tor se usato).
--no-verify	Disabilita la verifica del certificato SSL.
--cookie COOKIE	Cookie di sessione (ad es., name=value; name2=value2).
--auth AUTH	Credenziali di autenticazione di base (USER:PASS).

Target:

Flag	Description
-t, --target TARGET	URL di un singolo target (ad es., https://host:7002).
-l, --list LIST	File con elenco di target per scansione di massa, o singolo URL.
-f, --file FILE	Alias di --list.

Opzioni di richiesta:

Flag	Description
-r, --requestfile REQUESTFILE	Carica una richiesta HTTP grezza da file (sostituisce gli attacchi SAML).
--method METHOD	Metodo HTTP da usare (per richiesta grezza o richiesta singola; default: GET).
--random-agent	Usa uno User‑Agent casuale dall'elenco integrato.
-A, --user-agent USER_AGENT	Valore personalizzato per l'header User‑Agent.
--tor	Usa la rete di anonimato Tor (SOCKS5 di default).
--tor-port TOR_PORT	Porta del proxy Tor (default: 9050).
--tor-type {HTTP,SOCKS4,SOCKS5}	Tipo di proxy Tor (default: SOCKS5).
--check-tor	Verifica che Tor sia usato correttamente (esce con un verdetto).
--delay DELAY	Ritardo in secondi tra ogni richiesta.
--timeout TIMEOUT	Timeout in secondi (default: 30).
--retries RETRIES	Numero di tentativi in caso di timeout/errori (default: 3).
--retry-on RETRY_ON	Ripeti la richiesta se il contenuto della risposta corrisponde alla regex (ad es., 'captcha').
-dr, --disable-redirects	Disabilita il seguito dei redirect HTTP.