🔥 CVE-2026-5029 — Code Runner MCP Server RCE

Ejecución Remota de Código sin autenticación a través de la herramienta MCP run-code

Python Status License

Exploit de Prueba de Concepto para CVE-2026-5029 — una vulnerabilidad crítica de Ejecución Remota de Código sin autenticación en Code Runner MCP Server, desencadenada a través de la herramienta MCP run-code cuando el servidor se ejecuta con --transport http.

📋 Descripción General de la Vulnerabilidad

🧠 Descripción Técnica

Code Runner MCP Server expone un endpoint JSON-RPC /mcp en el puerto 3088 cuando se lanza con la opción --transport http. Se puede acceder a este endpoint con cero autenticación — sin clave de API, sin token de sesión, sin comprobación de origen.

Cualquier atacante remoto sin autenticar que pueda alcanzar el puerto puede invocar directamente la herramienta MCP run-code, que acepta código fuente arbitrario y un identificador de lenguaje, lo escribe en un archivo temporal y lo ejecuta mediante child_process.exec() usando el intérprete correspondiente (bash, python, powershell y más de 30 otros).

Dado que no se aplica ninguna sanitización al parámetro code en ninguna etapa, esto resulta en Ejecución Remota de Código completa y sin autenticación con los privilegios del proceso que ejecuta el servidor MCP.

Caso de Estudio

https://medium.com/@phantom_hat/cve-2026-5029-unpatched-case-study-unauthenticated-remote-code-execution-rce-66c7706f2320

Flujo del Ataque

┌──────────┐   JSON-RPC tools/call    ┌───────────────────────┐   exec()   ┌──────────┐
│ Attacker │ ──── run-code tool ─────▶│  /mcp  (port 3088)    │ ─────────▶ │   RCE    │
│          │    (no auth needed)      │  Code Runner MCP      │            │  on Host │
└──────────┘                          └───────────────────────┘            └──────────┘

1. Reconocimiento — Conéctate al endpoint /mcp expuesto y enumera las herramientas MCP disponibles
2. Descubrimiento del Esquema — Recupera el esquema de entrada de la herramienta run-code (code, languageId)
3. Entrega del Exploit — Envía una solicitud JSON-RPC tools/call manipulada con un code controlado por el atacante
4. Ejecución de Comandos — El servidor escribe code en un archivo temporal y lo ejecuta a través del intérprete seleccionado

🗂️ Estructura del Repositorio

.
├── exploit.py           # 🎯 Interactive RCE exploit shell (Rich-based terminal UI)
└── README.md            # 📖 You are here

exploit.py — Exploit Interactivo

El script de exploit principal, diseñado para uso profesional en evaluaciones de seguridad y casos de estudio. Se conecta al servidor MCP objetivo y abre un shell interactivo donde cualquier comando se ejecuta en vivo a través de la vulnerable herramienta run-code.

Las características incluyen:

• Salida de terminal limpia y estructurada usando Rich
• Shell de exploit interactivo — introduce comandos, obtén la salida, una y otra vez, sin volver a ejecutar el script
• Enumeración de lenguajes — lista todos los lenguajes para los que el servidor MCP anuncia soporte
• Sondeo de lenguajes instalados — comprueba qué intérpretes existen realmente en el host objetivo
• Lenguaje de ejecución seleccionable mediante -l (por defecto shellscript)
• Modo verbose para una salida operativa detallada

⚙️ Instalación

Requisitos Previos

• Python 3.8+
• Gestor de paquetes pip

Configuración

# Clone the repository
git clone https://github.com/0x00phantom-hat/CVE-2026-5029-Exploit.git
cd CVE-2026-5029-RCE-Exploit

# Install dependencies
pip install fastmcp rich

🚀 Uso

# Drop into an interactive RCE shell (default: shellscript)
python3 exploit.py -u http://TARGET:3088/mcp

# Use a specific language interpreter
python3 exploit.py -u http://TARGET:3088/mcp -l python

# List all languages the MCP server advertises support for
python3 exploit.py -u http://TARGET:3088/mcp --available

# Probe which language runtimes are actually installed on the target
python3 exploit.py -u http://TARGET:3088/mcp --installed -v

# Show the help menu
python3 exploit.py -h

Una vez conectado, el exploit abre un prompt interactivo:

PhantomHat-MCP@Exploit-CVE-2026-5029 $ id

Escribe exit para cerrar la sesión.

Opciones de Línea de Comandos

📸 Fases del Exploit

🔗 Referencias

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-5029
• Aviso de CERT.PL: https://cert.pl/en/posts/2026/05/CVE-2026-5029
• Proyecto Vulnerable: https://github.com/formulahendry/mcp-server-code-runner
• Sink Vulnerable (server.ts): https://github.com/formulahendry/mcp-server-code-runner/blob/main/src/server.ts

🛡️ Remediación

• No ejecutes --transport http en ninguna interfaz accesible desde la red — mantente en el transporte stdio por defecto
• Si se requiere el transporte HTTP, vincúlalo estrictamente a 127.0.0.1 y colócalo detrás de un proxy inverso autenticado o una VPN
• Bloquea el puerto 3088 con un firewall a nivel de host o de red
• Ejecuta el servidor como un usuario de bajos privilegios y con sandbox, o dentro de un contenedor restringido
• Supervisa las invocaciones inesperadas de run-code y los procesos hijo inusuales

⚠️ Aviso Legal

Esta herramienta se proporciona únicamente para pruebas de seguridad autorizadas y fines educativos.

El acceso no autorizado a sistemas informáticos es ilegal según leyes como la Computer Fraud and Abuse Act (CFAA), la Computer Misuse Act y legislación similar en todo el mundo. El autor no asume ninguna responsabilidad por el mal uso de este software.

Utiliza esta herramienta únicamente contra sistemas que poseas o para los que tengas autorización explícita por escrito para realizar pruebas.

Autor: Phantom Hat

Solo para pruebas de penetración autorizadas e investigación de seguridad.