xuwu-xuwu/cve-2026-68004PoC autónomo para publicación RTMP no autenticada en servidores de medios SRS; verifica la vulnerabilidad, admite la comprobación de canal lateral mediante HTTP API y habilita pruebas de penetración autorizadas.
Este repositorio contiene el informe técnico y la prueba de concepto para CVE-2026-68004, un problema de publicación RTMP no autenticada en despliegues de OSSRS / SRS donde vhost.security está deshabilitado y no hay otra autenticación de publicación configurada.
| Archivo | Propósito |
|---|---|
CVE_Report_SRS_Unauth_Publish.md | Informe de vulnerabilidad |
poc_srs_unauth_publish.py | PoC independiente en Python 3 que utiliza únicamente la biblioteca estándar |
Solo ejecuta esto contra sistemas que estés autorizado a probar.
python poc_srs_unauth_publish.py --host 127.0.0.1 --stream cve_2026_68004_poc
Vulnerable:
[+] VULNERABLE: received NetStream.Publish.Start
Con comprobación de canal lateral vía API HTTP:
python poc_srs_unauth_publish.py --host TARGET --check-api --json
Código de salida: 0 = publicación confirmada, 2 = no confirmada.
HongYuan Liu [email protected]