CVE-2026-33439 Python PoC

针对 OpenAM 预认证远程代码执行漏洞（jato.clientSession 反序列化）的独立 Python 概念验证。

内嵌的 shaded Click/Xalan gadget 从 cmd HTTP 请求头读取 shell 命令，并在 HTTP 响应中返回其输出。无需外部 Python 包、Java 运行时或 JAR 文件。

用法

python3 exploit.py \
  --url https://target.example/openam/ui/PWResetUserValidation \
  'id'

可选参数：

--timeout SECONDS     请求超时时间（默认：15）
--proxy URL           HTTP 代理，例如 http://127.0.0.1:8080
--verify-tls          启用 TLS 证书验证

参考

• OpenAM 安全公告 GHSA-2cqq-rpvq-g5qj
• CVE-2026-33439

仅可用于你拥有或获得明确授权测试的系统。