CVE-2017-5941 — PoC de deserialización no confiable en node-serialize (RCE)

⚠️ Solo para laboratorio / autoevaluación. Úsalo únicamente en sistemas que poseas o estés autorizado a probar.

Este repositorio proporciona:

• Un script PoC mínimo para reproducir CVE-2017-5941 contra una aplicación Node.js vulnerable que usa node-serialize <= 0.0.4.
• Dos vectores:
  • POST /api/deserialize (predeterminado)
  • Cookie profile para /profile (codificada en Base64; el servidor debe decodificarla antes de unserialize())

¿Qué es CVE-2017-5941?

• Componente: node-serialize (≤ 0.0.4)
• Debilidad: Deserialización no confiable (CWE-502)
• Comportamiento: Durante unserialize(), cualquier valor de cadena que comience con "_$$ND_FUNC$$_" se trata como JavaScript ejecutable (se evalúa).
• Impacto: Si una entrada no confiable llega a unserialize(), conduce a Ejecución Remota de Código.

Ejemplo de un valor malicioso:

{ "p": "_$$ND_FUNC$$_function(){ require('child_process').exec('id') }()" }