giangdurian/cve-2026-41242Exploit PoC per CVE-2026-41242, iniezione di codice critica in protobuf.js che consente RCE tramite nomi di tipo appositamente costruiti. Include app Node vulnerabile, PoC locale e script di exploit remoto in Python.
CVSS 9.4 (Critical) | Code Injection (CWE-94)
protobuf.js (npm: protobufjs) nelle versioni ≤ 7.5.4 e ≤ 8.0.0 è affetto da una vulnerabilità di esecuzione arbitraria di codice tramite i nomi dei tipi nello schema protobuf. Il modulo @protobufjs/codegen concatena il nome del tipo direttamente in una stringa JavaScript e la esegue tramite il costruttore Function() (equivalente a eval()). Un attaccante che controlla lo schema può iniettare codice che verrà eseguito sul server.
Corretto: protobufjs 7.5.5 / 8.0.1
CVE-2026-41242/
├── REPORT.md # Báo cáo phân tích đầy đủ
├── cve_2026_41242.py # Script exploit (Python)
├── vuln-app/ # Ứng dụng Node.js vulnerable
│ ├── server.js # Express server
│ ├── poc_local.js # PoC local — chứng minh code injection
│ ├── package.json
│ └── package-lock.json
└── img/ # Screenshots
└── *.png # setup, recon, exploit, debug, patch
cd vuln-app
npm install
npm install @protobufjs/[email protected] # BẮT BUỘC pin version — 2.0.5 đã chứa bản vá
# PoC local
node poc_local.js
# Server vulnerable
node server.js
# Exploit từ Kali
python3 cve_2026_41242.py -t http://<TARGET>:3000 -c "whoami"