Adobe Magento SessionReaper LFI PoC

Uma simples prova de conceito em Python demonstrando a vulnerabilidade CVE-2025-54236 (SessionReaper) que afeta versões vulneráveis do Adobe Magento.

Apenas para fins educacionais e testes de segurança autorizados.

Funcionalidades

• Normalização automática da URL alvo
• Geração aleatória de form_key
• Automação de requisição de upload de arquivo
• Verificação de arquivo enviado
• Salva uploads bem-sucedidos em success.txt
• Salva falsos positivos em falsepositive.txt
• Suporte a timeout de conexão e tentativas

Versões Afetadas

• Magento 2.4.9-alpha2
• Magento 2.4.8-p2
• Magento 2.4.7-p7
• Magento 2.4.6-p12
• Magento 2.4.5-p14
• Magento 2.4.4-p15
• Versões vulneráveis anteriores

Requisitos

• Python 3.x

Instale as dependências:

pip install requests urllib3

Uso

python ankamagento.py https://target.com payload.txt

Exemplo:

python ankamagento.py https://example.com dxeiz.txt

Saída

• success.txt → Uploads verificados com sucesso
• falsepositive.txt → Uploads que não puderam ser verificados

Aviso Legal

Este projeto é fornecido apenas para fins educacionais e avaliações de segurança autorizadas. O autor não se responsabiliza pelo uso indevido ou não autorizado deste software.