PoC para CVE-2023-32749

Este é um PoC rápido e sujo que escrevi para o CVE-2023-32749 para o Pydio Cells. O script cria uma nova conta de usuário com todas as funções disponíveis quando fornecido com uma credencial válida.

Todos os créditos vão para os pesquisadores originais.

Instalação

O único requisito é o pacote requests do python para fazer as requisições web. Se não estiver instalado no seu sistema, pode ser feito com

pip3 install -r requirements.txt

Uso

exploit.py [-h] -u USER -p PASSWORD -l URL

PoC for PyDio Cells - CVE-2023-32749

options:
  -h, --help            show this help message and exit
  -u USER, --user USER
  -p PASSWORD, --password PASSWORD
  -l URL, --url URL

Referências

• https://packetstormsecurity.com/files/172645/Pydio-Cells-4.1.2-Privilege-Escalation.html
• https://pydio.com/en/docs/developer-guide/rest-api

Novamente, todos os créditos vão para o PoC original da RedTeam Pentesting GmbH

Aviso Legal

O uso deste script é por conta e risco do usuário. O autor não se responsabiliza por quaisquer danos ou uso indevido deste script. É responsabilidade do usuário garantir que o script seja utilizado em conformidade com todas as leis e regulamentos aplicáveis.