CVE-2024-38856

CVE-2024-38856 Apache Ofbiz RCE スキャナー 説明 このスクリプトは、Apache OfbizアプリケーションにおけるCVE-2024-38856脆弱性をスキャンするために設計されています。この脆弱性はリモートコード実行を可能にする可能性があります。このスクリプトは、悪意のあるペイロードを含むHTTP POSTリクエストをOfbizアプリケーション内の特定のパスに送信して脆弱性を悪用します。 機能 さまざまなパスを使用してターゲットの脆弱性をスキャンします 高速処理のためにマルチスレッドをサポートします...

CVE-2024-36104

CVE-2024-36104 声明 本工具仅用于个人安全研究学习。由于传播、利用本工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，工具作者不为此承担任何责任。 version = 18.12.14 NAME: Apache OFBiz - 代码执行 USAGE: global options command command options arguments... COMMANDS: help, h Shows a list of commands or help for one command GLOBAL OPTIONS: --targeturl url, -u url...

CVE-2024-36104-PoC

CVE-2024-36104-PoC 针对 CVE-2024-36104 的概念验证，这是 Apache OFBiz 18.12.14 之前版本 中存在的一个未授权远程代码执行漏洞。 OFBiz 的 ControlServlet 在规范化请求路径之前先解析一个未授权视图（forgotPassword）。附加 /%2e/%2e/ 后，路径会折叠回 /webtools/control/，因此请求无需经过与原视图关联的安全/权限检查即可到达 ProgramExport 视图。随后 ProgramExport 会执行任意 Groovy 代码，从而实现未授权远程命令执行。 该脚本将命令封装在...

CVE-2020-9496

CVE-2020-9496 脆弱環境のセットアップ ▶ wget http://archive.apache.org/dist/ofbiz/apache-ofbiz-17.12.01.zip ▶ unzip apache-ofbiz-17.12.01.zip ▶ cd apache-ofbiz-17.12.01 ▶ sh gradle/init-gradle-wrapper.sh ▶ ./gradlew cleanAll loadDefault ▶ ./gradlew "ofbiz --load-data readers=seed,seed-initial,ext" ▶ ./gradle...

CVE-2020-9496

CVE-2020-9496 - RCE 由于webtools中的两个与xmlrpc相关的请求（xmlrpc和ping）未使用身份验证，因此它们容易受到不安全反序列化的攻击。GitHub安全实验室团队的Alvaro Munoz [email protected]已将此问题报告给安全团队。 此漏洞是由于处理发送到/webtools/control/xmlrpc的请求时的Java序列化问题而存在的。远程未认证攻击者可以通过发送精心构造的请求来利用此漏洞。成功利用将导致任意代码执行。 受影响版本 17.12.01 修复版本 18.12.01, 17.12.04...

OFBiz-Attack

OFBiz-Attack A Tool For CVE-2023-49070/CVE-2023-51467 Attack 测试环境 vulhub/ofbiz:18.12.09 使用 启动 java -jar OFBiz-Attack.jar 共有三个模块，分别是： 漏洞检测 仅输入目标URL即可，无限额外添加路由，否则影响后续模块利用。仅支持发送Https请求，运行速度取决于Web服务器性能 验证完成后请勿修改URL，后续利用会从此框获取URL 命令执行 使用前需完成漏洞校验，使用的是CVE-2023-51467来执行命令，也方便回显 执行失败会返回Not executed for...

CVE-2024-32113-POC

Apache OfBiz 漏洞 CVE-2024-32113 的 POC USERNAME 和 PASSWORD 参数可以在 /ecomseo/AnonContactus 接口中提供，该接口对任何人公开可访问。 POC1：RCE curl --noproxy '' -k --location --request POST 'https://127.0.0.1:8443/xxx/yyy/zzz/../../../%2e/webtools/control/ProgramExport' \ --header 'User-Agent: Apifox/1.0.0 https://apifox.co...

CVE-2023-42793

CVE-2023-42793 仅供教育用途 CVE-2023-42793 的 PoC 用法 CVE-2023-42793admin.sh： chmod +x CVE-2023-42793admin.sh ./CVE-2023-42793admin.sh ip/domainname port 运行证明： 用法 CVE-2023-42793rce.sh： chmod +x CVE-2023-42793rce.sh ./CVE-2023-42793rce.sh ip/domainname port command 运行证明：...

Apache-OFBiz-Authentication-Bypass

Apache OFBiz 認証バイパスの脆弱性 CVE-2023-51467 および CVE-2023-49070 このエクスプロイトスクリプトとPoCは、vsociety での詳細なCVE分析のために作成されました。 Apache OFBiz Enterprise Resource Planning ERP システムは、業界全体で広く利用されている多用途のJavaベースのWebフレームワークですが、深刻なセキュリティ上の課題に直面しています。SonicWall Threat research team による CVE-2023-51467...

CVE-2024-32113

CVE-2024-32113 Apache OFBIZ バッチスキャン 注意：このツールを違法攻撃に使用することを支援するものではありません。このツールは技術的な交流のみを目的としています。 Note: このツールは違法攻撃をサポートしません。技術交流のみを目的としています。 注意：本人不支持任何人使用本工具进行非法攻击，本工具仅作为技术交流。 ヘルプ CVE-2024-32113 Batch Scanning optional arguments: -h, --help show this help message and exit -f FILE, --file FILE Targe...

CVE-2024-38856-Apache-OFBiz

CVE-2024-38856 — Apache OFBiz（仓库文档） 仓库目的： 提供关于 CVE-2024-38856（Apache OFBiz 错误授权 / 预认证 RCE）的信息性文档。 本仓库不 包含武器化漏洞利用代码。它仅用于防御性研究、补丁指导、检测和安全实验室测试。 概述 CVE-2024-38856 是 Apache OFBiz 中的一个错误授权漏洞，可能允许未经身份验证访问某些端点，并且在特定条件下，能够执行屏幕渲染代码，从而导致在受影响系统上远程执行代码。该问题已在 Apache OFBiz 18.12.15 中修复；直到 18.12.14 的早期版本均受影响。...

CVE-2024-32113

CVE-2024-32113 Vulnerabilidad de Apache OFBiz de Path traversal que conduce a RCE EXP. Limitación incorrecta de un nombre de ruta a un directorio restringido vulnerabilidad de 'Path Traversal' en Apache OFBiz. Este problema afecta a Apache OFBiz: antes de 18.12.14no incluido. Se recomienda a los...

Ofbiz-RCE

📌 Apache OFBiz RCE Exploit CVE-2024-38856 このPythonスクリプトは、Apache OFBiz バージョン 18.12.15 未満 における Remote Code Execution RCE タイプの脆弱性を、エンドポイント /webtools/control/forgotPassword/ProgramExport への不正アクセスを介して悪用します。 🛠️ 説明 CVE : CVE-2024-38856 タイプ : 不正な認可 → リモートコード実行 コンポーネント : Apache OFBiz 影響を受けるバージョン : 18.12.15...

ofbiz-CVE-2023-49070-RCE-POC

ofbiz-CVE-2023-49070-RCE-POC 这是一个针对 CVE-2023-49070 的预认证 RCE POC，该漏洞影响 Apache ofbiz 应用程序 wget https://github.com/frohoff/ysoserial/releases/latest/download/ysoserial-all.jar DNS POC RCE POC 这些推文对我帮助很大： https://twitter.com/Siebene7/status/1731870759130427726...

CVE-2024-38856_Scanner

CVE-2024-38856 仅供道德使用，不允许任何有害或恶意活动。使用者自行承担责任。 CVE-2024-38856：Apache OFBiz 远程代码执行扫描与利用工具 CVE 分析：https://blog.securelayer7.net/cve-2024-38856-apache-ofbiz-rce 该漏洞影响 Apache OFBiz：至 18.12.14 版本 使用方法 ██████╗██╗ ██╗███████╗ ██████╗ ██████╗ ██████╗ ██╗ ██╗ ██████╗ █████╗ █████╗ ███████╗ ██████╗...

Exploit-CVE-2023-49070-and-CVE-2023-51467-Apache-OFBiz

利用 CVE-2023-49070 和 CVE-2023-51467 攻击 Apache OFBiz 18.12.10 Apache OFBiz 身份验证绕过漏洞 此漏洞利用代码仅用于教育目的和增强网络安全实践。任何用于非法用途的行为完全由您自己负责。建议仅在获得明确授权的环境中使用，以避免任何道德或法律违规。 要执行此漏洞利用，需要下载 ysoserial-all.jar 文件。以下命令可以帮助您完成此操作： wget https://github.com/frohoff/ysoserial/releases/latest/download/ysoserial-all.jar 参考资料...

apache-ofbiz-CVE-2020-9496

apache-ofbiz-CVE-2020-9496 YouTube https://www.youtube.com/watch?v=DO93Xc8sGWg...

exp_hub

0x01 注記 このプロジェクトは、合法的なペネトレーションテストおよび愛好家の参考学習のみを目的としています。皆様は『中華人民共和国ネットワーク安全法』および関連する地域の法律を遵守し、このプロジェクトを違法行為に使用しないでください。違反した場合の責任はすべて自己負担となります！ 0x02 VMware CVE-2021-21975 VMware vRealize Operations Manager SSRFの脆弱性 vCenter任意ファイル読み取り VMware vCenter任意ファイル読み取りの脆弱性 vCenter任意ファイルアップロードVMware...

CVE-2023-49070

CVE-2023-49070 Apache Ofbizにおける事前認証RCE!! 使い方 最初にOpen JDK 11をインストールしてください！ sudo apt install openjdk-11-jdk POC動画を確認： https://youtu.be/gDzYb6YvBSQ...

CVE-2020-9496

CVE-2020-9496 XML-RPC 请求在 Apache OFBiz 17.12.03 中存在不安全的反序列化和跨站脚本漏洞。 安装依赖 $ pip install -r requirements.txt $ wget https://jitpack.io/com/github/frohoff/ysoserial/master-SNAPSHOT/ysoserial-master-SNAPSHOT.jar -O ysoserial.jar 使用方法 $ python cve-2020-9496.py --target URL 测试 受害者 $ git clone...