CVE-2026-60206 – Prova de Conceito de Bypass de Autenticação SAML do Oracle WebLogic Server

Este repositório fornece uma prova de conceito de exploração para CVE‑2026‑60206, uma vulnerabilidade crítica de bypass de autenticação na implementação SAML do Oracle WebLogic Server. A falha permite que um atacante remoto com privilégios baixos comprometa completamente o servidor forjando asserções SAML.

⚠️ Aviso: Esta ferramenta destina-se apenas a pesquisas e testes de segurança autorizados. Utilize-a apenas contra sistemas que possui ou para os quais tem permissão explícita para testar. Os autores não assumem qualquer responsabilidade por uso indevido.

🔥 Visão Geral da Vulnerabilidade

CVE-2026-60206 afeta o componente Core do Oracle WebLogic Server. A vulnerabilidade decorre de um tratamento inadequado de autenticação na implementação do protocolo SAML. Múltiplos vetores de ataque — como XML Signature Wrapping (XSW), aceitação de asserção não assinada, manipulação de NameID e bypass de audiência/condições — permitem que um atacante se passe por utilizadores arbitrários (ex.: weblogic) e ganhe acesso administrativo.

Versões Afetadas:

• 12.2.1.4.0
• 14.1.1.0.0
• 14.1.2.0.0
• 15.1.1.0.0

O PoC implementa os seguintes vetores de ataque:

• XML Signature Wrapping (XSW) – manipulação estrutural para fazer o processador SAML aceitar uma asserção não assinada.
• Injeção de Asserção Não Assinada – criar uma resposta SAML completamente não assinada (se WantAssertionsSigned não estiver ativado).
• Manipulação de NameID – confundir o mapeador de identidade através de comentários XML, espaços em branco ou confusão de formato.
• Bypass de Restrição de Audiência – remover ou modificar AudienceRestriction para ampliar o âmbito.
• Bypass de Condições/Tempo – manipular NotBefore/NotOnOrAfter para ignorar verificações de validade.
• Ataque Combinado – XSW + asserção interna não assinada + manipulação de NameID (maior probabilidade de sucesso).
• Replay – repetir uma resposta SAML capturada com destino/recipiente modificado.

✨ Funcionalidades

• Múltiplos modos de ataque – selecione entre all, unsigned, xsw, nameid, audience, conditions, combo ou replay.
• Varredura em massa – deteção concorrente e exploração opcional em muitos alvos (via -l).
• Deteção de versão – identificar com precisão a versão do WebLogic através de cabeçalhos, páginas de erro e WSDL.
• Sondagem de endpoints SAML – descobrir automaticamente endpoints SAML ACS, metadados e iniciados por SP.
• Suporte a Tor – encaminhar tráfego através do Tor (SOCKS5/HTTP/SOCKS4) para anonimato.
• Replay de requisição HTTP bruta – enviar requisições HTTP brutas arbitrárias a partir de um ficheiro (-r).
• Suporte a HTTP/2 – usa automaticamente httpx se instalado, caso contrário recorre a requests (HTTP/1.1).
• Rotação de User-Agent – usar um User-Agent aleatório ou personalizado.
• Suporte a proxy – enviar todas as requisições através de um proxy HTTP/SOCKS.
• Personalização de requisições – definir timeouts, repetições, atrasos, desativar redirecionamentos e repetir com base em padrão regex.
• Salvamento de payloads – guardar payloads SAML gerados em disco (--save-payloads).
• Verificação de vulnerabilidade (-c / --check) – determinar rapidamente se um alvo é vulnerável (não exploratório).
• Saída de relatório JSON/CSV – resultados estruturados para varreduras em massa.
• Registo verbose – saída detalhada de depuração com consola colorida.

📦 Instalação

git clone https://github.com/Debajyoti0-0/CVE-2026-60206.git
cd CVE-2026-60206
pip install -r requirements.txt

Necessário: requests, urllib3

Opcional (melhora a funcionalidade):

• httpx – para suporte a HTTP/2
• lxml – para análise SAML avançada
• signxml, cryptography – para tratamento de assinaturas (não necessário para exploração)

🚀 Utilização

Alvo único – apenas deteção

python CVE-2026-60206.py -t https://192.168.1.100:7002 --detect

Alvo único – executar todos os vetores de ataque

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode all -u weblogic

Alvo único – modo de ataque específico

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode combo -u admin

Varredura em massa – detetar versões a partir de ficheiro

python CVE-2026-60206.py -l targets.txt -o results.json

Varredura em massa – detetar + explorar

python CVE-2026-60206.py -l targets.txt --exploit -o results.csv --threads 20

Repetir uma resposta SAML capturada

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode replay --replay-file captured.xml

Usar Tor e verificar conectividade

python CVE-2026-60206.py -t https://192.168.1.100:7002 --tor --check-tor

Enviar uma requisição HTTP bruta a partir de ficheiro

python CVE-2026-60206.py -t https://192.168.1.100:7002 -r request.txt --method POST

Verificação rápida de vulnerabilidade (não exploratória)

python CVE-2026-60206.py -t https://192.168.1.100:7002 -c

⚙️ Referência de Flags

Opções:

Bandeira	Descrição
-h, --help	Mostrar mensagem de ajuda e sair.
--proxy PROXY	URL do proxy (substituído por --tor se utilizado).
--no-verify	Desativar verificação de certificado SSL.
--cookie COOKIE	Cookie(s) de sessão (ex.: name=value; name2=value2).
--auth AUTH	Credenciais de autenticação básica (USER:PASS).

Alvo:

Bandeira	Descrição
-t, --target TARGET	URL de um único alvo (ex.: https://host:7002).
-l, --list LIST	Ficheiro de lista de alvos para varredura em massa, ou URL único.
-f, --file FILE	Alias para --list.

Opções de Requisição:

Bandeira	Descrição
-r, --requestfile REQUESTFILE	Carregar requisição HTTP bruta a partir de ficheiro (substitui ataques SAML).
--method METHOD	Método HTTP a usar (para requisição bruta ou requisição única; padrão: GET).
--random-agent	Usar um User-Agent aleatório da lista interna.
-A, --user-agent USER_AGENT	Valor personalizado do cabeçalho User-Agent.
--tor	Usar rede de anonimato Tor (SOCKS5 por padrão).
--tor-port TOR_PORT	Porta do proxy Tor (padrão: 9050).
--tor-type {HTTP,SOCKS4,SOCKS5}	Tipo de proxy Tor (padrão: SOCKS5).
--check-tor	Verificar se o Tor está a ser usado corretamente (sai com veredito).
--delay DELAY	Atraso em segundos entre cada requisição.
--timeout TIMEOUT	Timeout em segundos (padrão: 30).
--retries RETRIES	Número de repetições em caso de timeout/erros (padrão: 3).
--retry-on RETRY_ON	Repetir requisição se o conteúdo da resposta corresponder a uma regex (ex.: 'captcha').
-dr, --disable-redirects	Desativar seguimento de redirecionamentos HTTP.