m-cetin/cve-2024-20767Exploit PoC in Python per CVE-2024-20767 che consente la lettura arbitraria di file su server Adobe ColdFusion vulnerabili tramite l'endpoint Performance Monitoring Toolset.
get-the-files.py è uno script Python che sfrutta una vulnerabilità nei server Adobe ColdFusion (CVE-2024-20767) per leggere file dal server. Lo script si basa su un metodo descritto in https://jeva.cc/2973.html.
Questo script è fornito esclusivamente a scopo didattico. Testare server senza autorizzazione, sfruttare vulnerabilità senza permesso e accedere o divulgare dati privati senza consenso sono attività illegali e non etiche. Utilizzando questo script, accetti di farlo nel rispetto della legge e delle linee guida etiche. L'autore e i collaboratori non sono responsabili per qualsiasi uso improprio o danno causato da questo script.
requestsPrima di eseguire lo script, assicurati di avere Python 3.x installato sul sistema. Puoi scaricare Python dal sito ufficiale: https://www.python.org/downloads/.
Per installare la libreria requests richiesta, esegui il seguente comando:
pip install requests
Lo script può essere eseguito dalla riga di comando fornendo gli argomenti necessari.
python get-the-files.py --endpoints <URLs> --port <PORT> --command <FILE_PATH>
Argomenti
python get-the-files.py --endpoints example.com another-example.com --port 8500 --command "/etc/passwd"
I server ColdFusion con il Performance Monitoring Toolset abilitato (e accessibile tramite /pms) che eseguono le seguenti versioni sono vulnerabili:
Questo script è rilasciato con licenza MIT. Consulta il file LICENSE per maggiori dettagli.
Per qualsiasi domanda o dubbio riguardo questo script, apri una issue nel repository GitHub.