mbanyamer/-cve-2026-26215-manga-image-translator-rceProof-of-concept exploit per CVE-2026-26215, una vulnerabilità di esecuzione remota di codice non autenticata in manga-image-translator tramite deserializzazione pickle non sicura.
Instagram: @banyamer_security
GitHub: @mbanyamer
Proof-of-Concept exploit per CVE-2026-26215 - Esecuzione Remota di Codice non autenticata tramite deserializzazione Pickle non sicura in manga-image-translator ≤ beta-0.3.
CVE-2026-26215 è una vulnerabilità di esecuzione remota di codice non autenticata in versioni ≤ beta-0.3 in esecuzione in modalità API condivisa.
Gli endpoint /execute/{method_name} e /simple_execute/{method_name} deserializzano i body delle richieste controllati dall'attaccante utilizzando pickle.loads() senza alcuna validazione. Il meccanismo di autenticazione basato su nonce viene completamente bypassato poiché il nonce predefinito è una stringa vuota.
Ciò consente:
| Stato | Versione |
|---|---|
| ❌ Vulnerabile | manga-image-translator ≤ beta-0.3 |
| ✅ Corretta | Non ancora rilasciata |
Testato su: Docker (zyddnys/manga-image-translator:main), Linux
| Vettore | Descrizione |
|---|---|
| CVSS v4 | 9.3 (Critico) - AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H |
| Autenticazione | Nessuna - Completamente non autenticata |
| Vettore di Attacco | Rete |
| Complessità | Bassa |
pickle.loads(await request.body()) chiamato direttamente sull'input dell'attaccanteself.nonce predefinito a None, saltando completamente il controllo del nonce/execute/ e /simple_execute/ esposti senza adeguati controlli di accessograph LR
A[L'attaccante crea un payload pickle dannoso] --> B[Invia una richiesta POST a /execute/translate]
B --> C[Il server chiama pickle.loads sul body della richiesta]
C --> D[Il metodo __reduce__ viene eseguito]
D --> E[os.system viene chiamato con il comando dell'attaccante]
E --> F[Esecuzione remota di codice]