xorandd/cve-2025-69212-pocЭксплойт для проверки концепции для CVE-2025-69212, инъекция команд ОС в OpenSTAManager. Загружает вредоносный .p7m файл через ZIP для выполнения произвольных команд на целевом сервере.
https://github.com/advisories/GHSA-25fp-8w8p-mx36
OpenSTAManager (версии <= 2.9.8) имеет критическую уязвимость внедрения команд ОС в функции декодирования файлов P7M (подписанный XML). Аутентифицированный злоумышленник может загрузить ZIP-файл, содержащий .p7m файл с вредоносным именем, чтобы выполнить произвольные системные команды на сервере.
git clone https://github.com/xorandd/CVE-2025-69212-PoC
cd CVE-2025-69212-PoC
python3 CVE-2025-69212.py -u http://target.com -C <PHPSESSID_cookie>
CVE-2025-69212.py [-h] -u URL -C COOKIE
options:
-h, --help show this help message and exit
-u, --url URL target url, eg http://127.0.0.1
-C, --cookie COOKIE cookie value