davidcarliez/cve-2026-49176_lpe_pocLokaler Privilege-Escalation Proof-of-Concept für die Windows WalletService-Schwachstelle, die im Juli 2026 behoben wurde.
Lokaler Proof of Concept zur Rechteausweitung für die Windows-WalletService-Schwachstelle, die im Juli 2026 behoben wurde.
Technische Ausarbeitung: CVE-2026-49176 Exploit Development: WalletService to SYSTEM.
Ein Standardbenutzer erstellt eine Wallet-ESE-Datenbank, die einen persistierten Callback enthält, und leitet seinen bekannten Ordner „Dokumente“ dorthin um. Der verwundbare WalletService öffnet die Datenbank als LocalSystem mit aktivierten persistierten Callbacks, wodurch ESE die bereitgestellte DLL lädt. Die Payload startet eine Eingabeaufforderung als SYSTEM in der aktiven Desktop-Sitzung.
Öffnen Sie auf einem verwundbaren Windows-11-System eine nicht erhöhte PowerShell und führen Sie Folgendes aus:
powershell.exe -ExecutionPolicy Bypass -File .\trigger.ps1
Alternativ können Sie run.cmd doppelklicken. Es sollte sich eine Shell öffnen und nt authority\system ausgeben.
Um die enthaltenen Binärdateien neu zu erstellen, installieren Sie die Visual Studio C++ Build Tools und führen Sie Folgendes aus:
powershell.exe -ExecutionPolicy Bypass -File .\build.ps1
Getestet auf Windows 11 25H2 Build 26200.8737.
WalletService löst FOLDERID_Documents auf, während es den Aufrufer imitiert, und wechselt dann vor dem Öffnen von <Documents>\Wallet\wallet.db zurück zu LocalSystem. Es akzeptiert eine vom Aufrufer erstellte Datenbank und aktiviert persistierte ESE-Callbacks. Beim Öffnen der Tabelle Cards wird der im Datenbankschema gespeicherte Callback-Pfad aufgelöst und die angegebene DLL als SYSTEM geladen.