giangdurian/cve-2026-41242Exploit PoC para CVE-2026-41242, inyección de código crítica en protobuf.js que conduce a RCE mediante nombres de tipo manipulados. Incluye aplicación Node vulnerable, PoC local y script de exploit remoto en Python.
CVSS 9.4 (Crítico) | Inyección de código (CWE-94)
protobuf.js (npm: protobufjs) versiones ≤ 7.5.4 y ≤ 8.0.0 tienen una vulnerabilidad de ejecución de código arbitrario a través de nombres de tipo en el esquema protobuf. El módulo @protobufjs/codegen concatena el nombre del tipo directamente en una cadena de JavaScript y luego lo ejecuta a través del constructor Function() (equivalente a eval()). Un atacante que controle el esquema puede inyectar código que se ejecute en el servidor.
Corregido: protobufjs 7.5.5 / 8.0.1
CVE-2026-41242/
├── REPORT.md # Báo cáo phân tích đầy đủ
├── cve_2026_41242.py # Script exploit (Python)
├── vuln-app/ # Ứng dụng Node.js vulnerable
│ ├── server.js # Express server
│ ├── poc_local.js # PoC local — chứng minh code injection
│ ├── package.json
│ └── package-lock.json
└── img/ # Screenshots
└── *.png # setup, recon, exploit, debug, patch
cd vuln-app
npm install
npm install @protobufjs/[email protected] # BẮT BUỘC pin version — 2.0.5 đã chứa bản vá
# PoC local
node poc_local.js
# Server vulnerable
node server.js
# Exploit từ Kali
python3 cve_2026_41242.py -t http://<TARGET>:3000 -c "whoami"