m-cetin/cve-2024-20767PoC для CVE-2024-20767. Произвольное чтение файлов в Adobe ColdFusion
get-the-files.py — это Python-скрипт, который эксплуатирует уязвимость в серверах Adobe ColdFusion (CVE-2024-20767) для чтения файлов с сервера. Скрипт основан на методе, описанном на https://jeva.cc/2973.html.
Этот скрипт предоставляется исключительно в образовательных целях. Несанкционированное тестирование серверов, эксплуатация уязвимостей без разрешения, а также доступ или раскрытие частных данных без согласия являются незаконными и неэтичными действиями. Используя этот скрипт, вы соглашаетесь делать это в рамках закона и этических норм. Автор и участники не несут ответственности за любое неправомерное использование или ущерб, причинённый этим скриптом.
requestsПеред запуском скрипта убедитесь, что на вашей системе установлен Python 3.x. Вы можете загрузить Python с официального сайта: https://www.python.org/downloads/.
Чтобы установить требуемую библиотеку requests, выполните следующую команду:
pip install requests
Скрипт можно запустить из командной строки, указав необходимые аргументы.
python get-the-files.py --endpoints <URLs> --port <PORT> --command <FILE_PATH>
Аргументы
python get-the-files.py --endpoints example.com another-example.com --port 8500 --command "/etc/passwd"
Серверы ColdFusion со включённым Performance Monitoring Toolset (доступные через /pms) следующих версий уязвимы:
Этот скрипт распространяется под лицензией MIT. Подробнее см. в файле LICENSE.
По любым вопросам или замечаниям относительно этого скрипта, пожалуйста, откройте issue в репозитории GitHub.