## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-HYDRAGYRUM-CVE-2019-20933
# CVE-2019-20933
> В InfluxDB до версии 1.7.6 существует уязвимость обхода аутентификации в функции authenticate в services/httpd/handler.go, поскольку JWT-токен может иметь пустой SharedSecret (также известный как общий секрет).
(см. https://nvd.nist.gov/vuln/detail/CVE-2019-20933 для получения дополнительных сведений)
## PoC
Этот PoC эксплуатирует вышеуказанную CVE для создания быстрого и грязного influxDB-клиента.
## Использование:
usage: influx-client.py [-h] [--host HOST] [--port PORT] [--user USER] [--db DB] query
Простой, нелепый, излишне перегруженный influxdb-клиент, написанный на Python.
позиционные аргументы: query Запрос для выполнения. По умолчанию: SHOW DATABASES
необязательные аргументы: -h, --help показать это справочное сообщение и выйти \--host HOST Целевой IP-адрес. (по умолчанию: localhost) \--port PORT, -p PORT Целевой порт. (по умолчанию: 8086) \--user USER Целевое имя пользователя. (по умолчанию: admin) \--db DB База данных для использования.
## Благодарности
Части кода заимствованы из https://github.com/LorenzoTullini/InfluxDB-Exploit-CVE-2019-20933