PoC-CVE-2024-44349

Уязвимость обнаружена и протестирована в Anteeo WMS - v4.7.31

Уязвимость позволяет злоумышленникам формировать SQL-команду внутри параметра имени пользователя и раскрывать данные в базе данных. Затронутые версии ANTEEO B2B WMS — с v.4.7.x по v.4.7.34 (исключая).

Использование

1. git clone [email protected]:AndreaF17/PoC-CVE-2024-44349.git
2. cd PoC-CVE-2024-44349
3. python3 -m venv venv
4. source venv/bin/activate
5. pip3 install -r requirements.txt
6. python3 ./main.py -t TARGET -m [MODE]

Режимы

Перед запуском РЕЖИМА скрипт проверяет, уязвим ли ANTEEO, и продолжает. Доступные режимы:

• dump: python3 ./main.py -t TARGET -m dump, дамп базы данных.
• query: python3 ./main.py -t TARGET -m query, открывает оболочку, где можно отправлять SQL-запросы на сервер.

Директория Utils

Внутри utils/utils.py находятся некоторые функции для извлечения данных из БД.

Условия использования

Этот PoC был разработан только для исследовательских и образовательных целей. Он предоставляется «как есть», без каких-либо гарантий, и автор не несет ответственности за любой ущерб, причиненный его использованием.

Используя этот PoC, вы соглашаетесь с тем, что:

• Он должен использоваться только в средах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.
• Любое неправомерное, незаконное или неэтичное использование строго запрещено.
• Автор не несет ответственности за любые прямые, косвенные или случайные убытки, возникшие в результате его использования.

Используйте на свой страх и риск и соблюдайте применимые законы.