Una richiesta application/qwik-json appositamente costruita può fare riferimento a un modulo lato server e a un simbolo esportato. Le versioni vulnerabili di Qwik possono risolvere una QRL non registrata tramite require() in esecuzione e invocarla senza autenticazione. Questo PoC tenta di raggiungere un export di esecuzione di processo compatibile già presente nella node_modules del target.

Requisiti

Operatore:

• Python 3.
• Accesso di rete alla route esatta di Qwik che elabora la richiesta server$/Qwik JSON.
• Un listener raggiungibile dal target quando si testa la funzionalità di reverse shell.

Target:

• Una distribuzione Qwik vulnerabile che usa @builder.io/qwik <= 1.19.0.
• Un runtime in cui require() è disponibile.
• Un modulo gadget compatibile e un export accessibili in node_modules.
• node disponibile nel PATH del processo del servizio.
• Permessi sufficienti dell'account del servizio per il comando o l'operazione su file richiesti.

Non sono richiesti pacchetti Python di terze parti.

Avvio rapido

Elenca i gadget integrati senza inviare una richiesta:

Esegui una sonda attiva con marcatore e prova ogni gadget integrato:

[!IMPORTANT] --probe non è un rilevamento passivo della versione. Tenta l'esecuzione di codice in remoto e la conferma stampando un marcatore dal processo del target.

Esempi di utilizzo

Esegui un comando:

Leggi un file di testo UTF-8:

Scrivi e verifica un file di testo UTF-8:

Richiedi una reverse shell dopo aver avviato un listener persistente:

Forza il payload della reverse shell Windows quando il rilevamento automatico del sistema operativo non è adatto:

Lo script non avvia un listener. Il pre-controllo --callback apre e chiude una connessione TCP separata prima di inviare il payload della shell, quindi usa un listener in grado di accettare più di una connessione.

Riferimento CLI

Le modalità di azione non si escludono a vicenda nel parser. Usane una tra --probe, --CMD, --read, --write o --lhost per invocazione.

Gadget integrati

--gadget auto testa questi gadget nell'ordine elencato. Un gadget personalizzato può essere fornito come segue:

Limitazioni importanti

• Una sonda negativa non è la prova che sul target sia stata applicata la correzione. Potrebbe indicare una route errata, un gadget mancante o incompatibile, un errore di rete/TLS, filtri o un diverso layout di distribuzione.
• Il gadget predefinito è cross-spawn.sync, non la scoperta automatica. Usa --gadget auto quando il layout delle dipendenze del target è sconosciuto.
• Lo strumento non ha opzioni per cookie, header di autorizzazione, proxy o header personalizzati arbitrari.
• Le operazioni sui file sono orientate al testo. --read si aspetta UTF-8 e --write non è pensato per dati binari.
• I percorsi relativi vengono risolti a partire dalla directory di lavoro del processo Qwik. Tutte le operazioni vengono eseguite con i permessi dell'account del servizio Qwik.
• I messaggi di successo della reverse shell indicano che la richiesta HTTP dell'exploit è stata accettata; non provano che sia stato ricevuto un callback.
• --rev-all può avviare più processi o callback sul target. Usalo solo in un laboratorio isolato.
• I codici di uscita del processo riflettono principalmente la gestione della sonda e del trasporto, non lo stato di uscita del comando remoto o la presenza di una shell funzionante.
• Lo strumento non identifica la versione di Qwik installata e non dovrebbe essere usato come sostituto dell'inventario delle dipendenze.

Rimedio

Aggiorna @builder.io/qwik a 1.19.1 o versione successiva, aggiorna il lockfile, ricompila l'applicazione e ridistribuisci tutti gli artefatti del server. Rimuovere da solo un gadget compatibile non è una soluzione completa per la vulnerabilità sottostante di Qwik.

Riferimenti

• Advisory di sicurezza Qwik — GHSA-p9x5-jp3h-96mm
• Database degli advisory GitHub — CVE-2026-27971
• Rilascio corretto di Qwik 1.19.1
• Commit di correzione upstream
• Record CVE
• Voce NVD

Nota legale

Questo progetto è fornito per ricerca sulla sicurezza, validazione difensiva e test autorizzati. Non usarlo contro sistemi senza permesso esplicito.