CVE-2026-9277 - Exploit d'injection de commandes Shell-Quote

Un script d'exploit Proof of Concept (PoC) spécialisé conçu pour vérifier et démontrer CVE-2026-9277 — une vulnérabilité structurelle d'injection de commandes trouvée dans les versions obsolètes de la bibliothèque shell-quote (<= 1.8.3).

Le scanner effectue une manipulation structurelle approfondie sur les charges utiles JSON en entrée pour exposer des vecteurs d'exécution de code à distance (RCE) via un parcours récursif, empêchant les faux positifs à l'aide d'un moteur de temporisation de base réseau dynamique.

---

Fonctionnalités clés

• Parcours JSON récursif : Détecte et mute automatiquement les tableaux cibles cachés dans des structures JSON imbriquées à plusieurs niveaux ou des configurations de type GraphQL.
• Matrice de mutation combinatoire : Teste des scénarios avancés de manipulation de tableaux, y compris les insertions d'index spécifiques, les remplacements absolus de listes et les paires de tableaux dispersés.
• Architecture OOB automatisée : Gère les dispositions d'exécution Out-of-Band avancées en séparant les composants {"op": "..."} des arguments pour contourner avec succès les contrôles d'isolement des chaînes.
• Journalisation sans bruit : Moteur d'exécution silencieux qui filtre les réponses de serveur interne 500 cassées/non exploitables, ne faisant apparaître que des preuves vérifiées exclusivement.

---

Installation et configuration