davidcarliez/cve-2026-49176_lpe_pocPreuve de concept d'escalade de privilèges locaux pour la vulnérabilité Windows WalletService corrigée en juillet 2026.
Preuve de concept d'élévation de privilèges locale pour la vulnérabilité Windows WalletService corrigée en juillet 2026.
Analyse technique : CVE-2026-49176 Exploit Development: WalletService to SYSTEM.
Un utilisateur standard crée une base de données Wallet ESE contenant un callback persistant et redirige son dossier connu Documents vers celle-ci. Le WalletService vulnérable ouvre la base de données en tant que LocalSystem avec les callbacks persistants activés, ce qui amène ESE à charger la DLL fournie. La charge utile lance une invite de commandes en tant que SYSTEM dans la session de bureau active.
Sur un système Windows 11 vulnérable, ouvrez un PowerShell non élevé et exécutez :
powershell.exe -ExecutionPolicy Bypass -File .\trigger.ps1
Vous pouvez également double-cliquer sur run.cmd. Un shell devrait s'ouvrir et afficher nt authority\system.
Pour reconstruire les binaires inclus, installez les outils de compilation C++ de Visual Studio et exécutez :
powershell.exe -ExecutionPolicy Bypass -File .\build.ps1
Testé sur Windows 11 25H2 build 26200.8737.
WalletService résout FOLDERID_Documents en usurpant l'identité de l'appelant, puis revient à LocalSystem avant d'ouvrir <Documents>\Wallet\wallet.db. Il accepte une base de données créée par l'appelant et active les callbacks persistants d'ESE. L'ouverture de la table Cards résout le chemin de callback stocké dans le schéma de la base de données et charge la DLL spécifiée en tant que SYSTEM.