CVE-2026-33439 Python PoC

Proof of concept Python autonomo per la vulnerabilità di esecuzione di codice remoto pre-autenticazione in OpenAM nella deserializzazione di jato.clientSession.

Il gadget shaded Click/Xalan incorporato legge un comando shell dall'header HTTP cmd e restituisce il suo output nella risposta HTTP. Non sono richiesti pacchetti Python esterni, runtime Java o file JAR.

Utilizzo

python3 exploit.py \
  --url https://target.example/openam/ui/PWResetUserValidation \
  'id'

Argomenti opzionali:

--timeout SECONDS     Timeout della richiesta (predefinito: 15)
--proxy URL           Proxy HTTP, ad esempio http://127.0.0.1:8080
--verify-tls          Abilita la verifica del certificato TLS

Riferimenti

• OpenAM security advisory GHSA-2cqq-rpvq-g5qj