这是一个利用 Jetpack < 13.9.1 越权访问漏洞(CVE-2024-9926)的 Python3 程序。
该工具旨在供安全工程师和应用安全人员用于安全评估。请负责任地使用此工具。我对任何人使用此应用程序的方式不承担任何责任。对于因使用此工具而造成的任何损害或犯下的任何罪行,我概不负责。
$ ./exploit.py --help
usage: exploit.py [-h] -t TARGET -u USERNAME -ap APPLICATION_PASSWORD [-v]
Exploit for Jetpack < 13.9.1 broken access control vulnerability. - v1.0 (2024-11-01)
options:
-h, --help show this help message and exit
-t TARGET, --target TARGET
URL of the target WordPress
-u USERNAME, --username USERNAME
Username of WordPress
-ap APPLICATION_PASSWORD, --application-password APPLICATION_PASSWORD
Application Password generated for the user (it's NOT the user password)
-v, --verbose verbose mode
./exploit.py -t https://localhost:1337 -u attacker -ap "AAAA 1111 bbbb 2222 CCCC 3333"
可以使用此仓库搭建一个易受攻击的应用程序。
有关详细信息,请参阅 LICENSE 文件。