sergiovks/cve-2019-14322Modifica di: PoC di CVE-2019-14322: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
Modifica dell'exploit di faisalfs10x: PoC di CVE-2019-14322: Limitazione impropria di un percorso a una directory ristretta ('Path Traversal')
È stata trovata una vulnerabilità in Pallets Werkzeug fino alla versione 0.15.4. È stata dichiarata critica. Questa vulnerabilità interessa la funzione SharedDataMiddleware del componente Windows. La manipolazione con un input sconosciuto porta a una vulnerabilità di directory traversal. La definizione CWE per la vulnerabilità è CWE-22
In Pallets Werkzeug precedente alla 0.15.5, SharedDataMiddleware gestisce erroneamente i nomi delle unità (come C:) nei percorsi Windows.
Limitazione impropria di un percorso a una directory ristretta ('Path Traversal').
Colpisce anche "Odoo", una suite di software di gestione aziendale, che usa Pallets Werkzeug come componente principale. Pertanto, Odoo è vulnerabile a una vulnerabilità di inclusione locale di file ereditata da Werkzeug.
Questo script legge alcune directory di Windows come prova di concetto.
python3 CVE-2019-14322.py -l list_target.txt
Oppure utilizza una wordlist invece delle directory predefinite.
python3 CVE-2019-14322.py -l list_target.txt -w wordlist.txt
Lo script è destinato esclusivamente ad analisi di sicurezza e ricerca, pertanto non sarò ritenuto responsabile se viene utilizzato per attività illecite.
