CVE-2026-23744
ثغرة REC في مُفتش MCPJam بسبب تعرّض نقطة نهاية HTTP
- تم النشر
- 16/01/2026
- محدث
- 16/01/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 07/07/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.3%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
MCPJam inspector هي منصة التطوير المحلية أولاً (local-first) لخوادم MCP. الإصدارات 1.4.2 وما قبلها معرضة لثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE)، والتي تسمح للمهاجم بإرسال طلب HTTP مخصص يؤدي إلى تثبيت خادم MCP، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. وبما أن MCPJam inspector يستمع افتراضيًا على العنوان 0.0.0.0 بدلاً من 127.0.0.1، يمكن للمهاجم تفعيل ثغرة RCE عن بُعد عبر طلب HTTP بسيط. يحتوي الإصدار 1.4.3 على تصحيح.
المصادر
modules/exploits/multi/http/mcpjam_inspector_rce.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux,Unix($.exploit_multi/http/mcpjam_inspector_rce.platform)
- verification: check_declared($.exploit_multi/http/mcpjam_inspector_rce.check)
http/cves/2026/CVE-2026-23744.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- CVE-2026-23744-scriptاستغلال
# سكربت استغلال لـ CVE-2026-23744 يستهدف MCPJam Inspector (<=1.4.2) لتحقيق تنفيذ التعليمات البرمجية عن بُعد عبر طلبات HTTP مصممة خصيصًا.
استغلال Python لـ CVE-2026-23744 في MCPJam Inspector 1.4.2، مما يتيح تنفيذ التعليمات البرمجية عن بُعد عبر قشرة عكسية على خوادم HTTP المستهدفة.
- CVE-2026-23744استغلال
نص استغلال بلغة بايثون لثغرة CVE-2026-23744 يوفّر قشرة عكسية إلى عنوان URL مستهدف محدد، ويتطلب مستمع netcat للتحكم بالأوامر.
CVE-2026-23744 - الإصدارات 1.4.2 والإصدارات الأقدم من أداة فحص MCPJam معرضة لتنفيذ التعليمات البرمجية عن بُعد (RCE). نظرًا لأن الأداة تستمع على 0.0.0.0 بشكل افتراضي، يمكن للمهاجم تشغيل تثبيت وتنفيذ خادم MCP ضار عن طريق إرسال طلب HTTP مصمم خصيصًا. يحتوي الإصدار 1.4.3 على تصحيح لهذه المشكلة.
استغلال لإثبات المفهوم لثغرة CVE-2026-23744 - MCPJam Inspector Remote Code Execution (RCE). توضح هذه الأداة الخلل الأمني في الإصدارات <=1.4.2 وتساعد باحثي الأمن في التحقق من التصحيحات. لأغراض الاختبار المصرح به والتعليم فقط. تتضمن خيارات متعددة للحمولات، تنفيذ الأوامر، وإدارة الجلسات.
إثبات مفهوم لاستغلال CVE-2026-23744، يوضح تنفيذًا عن بُعد للتعليمات البرمجية دون مصادقة في إصدارات MCPJam Inspector حتى 1.4.2 عبر طلبات HTTP مصممة بعناية.
إثبات المفهوم (PoC) لاستغلال CVE-2026-23744، وهي ثغرة أمنية تؤثر على MCPJam Inspector وتسمح بتنفيذ الأوامر عن بُعد (RCE) عبر نقاط نهاية تصحيح الأخطاء الداخلية المكشوفة
CVE-2026-23744 - MCPJam inspector Remote-Code-Execution: إثبات المفهوم (POC
إثبات مفهوم لاستغلال CVE-2026-23744، يستهدف `/api/mcp/connect` لتحقيق تنفيذ أوامر عن بُعد على أنظمة لينكس عبر قشرة عكسية.
- CVE-2026-23744استغلال
استغلال لـ MCPJam Inspector <=1.4.2 يطلق تنفيذًا عن بُعد للكود عبر طلبات HTTP مصممة خصيصًا، مما يتيح تثبيت خوادم MCP غير مصرح به دون تفاعل المستخدم.
- mcp-pwnاستغلال
استغلال PoC لـ CVE-2026-23744 — RCE غير مصادق عليه في MCPJam Inspector عبر حقن أوامر serverConfig غير موثق على /api/mcp/connect، مما يتيح reverse shell كـ process owner بدون بيانات اعتماد.
- CVE-2026-23744-pocاستغلال
cve-2026-23744 python استغلال
- CVE-2026-23744-PoCاستغلال
CVE-2026-23744 هي ثغرة حقن أوامر بدون مصادقة في MCPJam Inspector ≤1.4.2 عبر /api/mcp/connect. يستغل هذا الكود البرهاني (POC) الثغرة عن طريق إرسال حمولة JSON مصمّمة خصيصًا لتنفيذ أوامر عشوائية، مما يمنح صدفة عكسية (reverse shell) مع PTY.
- CVE-2026-23744استغلال
إثبات المفهوم وبحث أمني هجومي يحلل CVE-2026-23744 (ثغرة RCE بدون مصادقة في MCPJam Inspector، تم تصحيحها في الإصدار v1.4.3+).
- CVE-2026-23744استغلال
إثبات مفهوم لتنفيذ تعليمات برمجية عن بُعد دون مصادقة لثغرة CVE-2026-23744 التي تستهدف MCPJam Inspector. يولّد حمولات serverConfig خاصة بـ MCP لاستغلال نقطة النهاية /api/mcp/connect مع دعم الصدفة العكسية وتصحيح الأخطاء عبر التشغيل التجريبي.
- cve-2026-23744استغلال
إثبات مفهوم لاستغلال CVE-2026-23744، وهو ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) غير مصادق عليها في MCPJam Inspector. يوفر قشرة عكسية وتنفيذ أوامر عبر نقطة نهاية API ضعيفة.
- CVE-2026-23744-Labالبحث
مختبر Docker لمقارنة الإصدارات المعرّضة والمصحّحة من MCPJam Inspector لثغرة CVE-2026-23744، مع توضيح الاختلافات في ربط الشبكة وكشف واجهة برمجة التطبيقات لأغراض البحث الأمني التعليمي.
- CVE-2026-23744-POCاستغلال
CVE-2026-23744 — استغلال لإثبات المفهوم لثغرة تنفيذ التعليمات البرمجية عن بُعد غير مصادق عليها في MCPJam Inspector <= 1.4.2.
استغلال Python لثغرة CVE-2026-23744 يحقق تنفيذ تعليمات برمجية عن بُعد عبر طلبات POST مصممة بعناية إلى نقطة النهاية /api/mcp/connect في MCPJam Inspector الإصدار <= 1.4.2.
# Python PoC لـ CVE-2026-23744، تنفيذ أوامر عن بُعد غير مصادق عليه في خوادم MCP عبر حقل الأمر serverConfig في /api/mcp/connect (المنفذ الافتراضي 6274)
CVE-2026-23744 إثبات المفهوم.
- CVE-2026-23744استغلال
تنفيذ التعليمات البرمجية عن بُعد في MCPJam 1.4.2 والإصدارات الأقدم
إثبات مفهوم لاستغلال CVE-2026-23744، وهي ثغرة تنفيذ برمجيات عن بُعد في MCPJam inspector <=1.4.2، يتم تفعيلها عبر طلبات HTTP مصممة خصيصًا لتثبيت خادم MCP خبيث.
- CVE-2026-23744-RCEاستغلال
تم إنشاء هذه الأداة أثناء بحث يتضمن MCPJam v1.4.2. يعرض التطبيق نقطة نهاية API تقبل كائن تكوين الخادم. في ظل ظروف معينة، قد يؤدي عدم كفاية التحقق إلى تنفيذ أوامر غير مقصودة.
- mcpExecاستغلال
POC لـ CVE-2026-23744 لـ revshell بايثون
يستهدف هذا الـ proof-of-concept المكتوب بلغة Python خدمة MCP (Model Context Protocol) ضعيفة يتم كشفها من قبل التطبيق المستهدف. تسمح الثغرة للمهاجم بتوفير معلمات تكوين خادم تعسفية من خلال نقطة النهاية /api/mcp/connect.
- CVE-2026-23744-exploitاستغلال
استغلال لـ MCPJam Inspector - تنفيذ التعليمات البرمجية عن بُعد (CVE-2026-23744)
- mcpjaminspector-unauth-rceاستغلال
إثبات مفهوم لاستغلال CVE-2026-23744، وهو تنفيذ كود عن بُعد غير مصادق عليه في MCPJam inspector <= 1.4.2، مما يسمح بتنفيذ الأوامر على الأهداف المعرضة للخطر.
- mcpjam-to-rootالبحث
من RCE في MCPJam Inspector إلى root — CVE-2026-23744، الكشف عن توكن JupyterLab، تنفيذ النواة، وتصعيد صلاحيات OPSMCP
مُتحقق من صحة إثبات المفهوم المحدد لـ CVE-2026-23744. يؤكد تنفيذ تعليمات برمجية عن بُعد بدون مصادقة في MCPJam Inspector عبر أمر دليل ثابت غير مدمر. مصمم لتقييمات أمنية مصرح بها مع إخراج JSON منظم.
- exploit-CVE-2026-23744استغلال
استغلال لثغرة CVE-2026-23744، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد في MCPJam Inspector، تتيح للمهاجمين تنفيذ أوامر عشوائية عبر طلبات HTTP مصممة بعناية.
استغلال إثبات المفهوم لثغرة CVE-2026-23744، وهي ثغرة تنفيذ كود عن بُعد في MCPJam Inspector. يوضح الاستغلال تنفيذ الكود عن بُعد عبر طلب HTTP مُصمَّم خصيصًا إلى نقطة النهاية /api/mcp/connect مع حمولة قشرة عكسية (reverse shell).
- CVE-2026-23744استغلال
CVE-2026-23744 صدفة عكسية
CVE-2026-23744 PoC
إثبات المفهوم (PoC) لثغرة CVE-2026-23744
تنفيذ التعليمات البرمجية عن بُعد على MCPJam Inspector <= 1.4.2
مستودع مخصص لـ CVE-2026-23744، يوفر أبحاث الثغرات الأمنية وكود إثبات المفهوم.
Diamorphine · multiple · 07/07/2026
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.