PoC для CVE-2023-32749

Это быстрый и черновой PoC, который я написал для CVE-2023-32749 в Pydio Cells. Скрипт создаёт новую учётную запись пользователя со всеми доступными ролями при наличии действительных учётных данных.

Вся заслуга принадлежит оригинальным исследователям.

Установка

Единственное требование — пакет requests для Python, чтобы выполнять веб-запросы. Если он не установлен в вашей системе, это можно сделать с помощью

pip3 install -r requirements.txt

Использование

exploit.py [-h] -u USER -p PASSWORD -l URL

PoC for PyDio Cells - CVE-2023-32749

options:
  -h, --help            show this help message and exit
  -u USER, --user USER
  -p PASSWORD, --password PASSWORD
  -l URL, --url URL

Ссылки

• https://packetstormsecurity.com/files/172645/Pydio-Cells-4.1.2-Privilege-Escalation.html
• https://pydio.com/en/docs/developer-guide/rest-api

Опять же, вся заслуга принадлежит оригинальному PoC от RedTeam Pentesting GmbH

Отказ от ответственности

Использование данного скрипта осуществляется на свой страх и риск. Автор не несёт ответственности за любой ущерб или неправомерное использование этого скрипта. Пользователь несёт ответственность за то, чтобы использование скрипта соответствовало всем применимым законам и нормативным актам.