davidcarliez/cve-2026-49176_lpe_pocProva de conceito de escalada de privilégio local para a vulnerabilidade do Windows WalletService corrigida em julho de 2026.
Prova de conceito de escalonamento local de privilégios para a vulnerabilidade do Windows WalletService corrigida em julho de 2026.
Análise técnica: CVE-2026-49176 Exploit Development: WalletService to SYSTEM.
Um usuário padrão cria um banco de dados Wallet ESE contendo um callback persistido e redireciona sua pasta conhecida Documents para ele. O WalletService vulnerável abre o banco de dados como LocalSystem com callbacks persistidos habilitados, fazendo com que o ESE carregue a DLL fornecida. O payload inicia um prompt de comando como SYSTEM na sessão de desktop ativa.
Em um sistema Windows 11 vulnerável, abra um PowerShell não elevado e execute:
powershell.exe -ExecutionPolicy Bypass -File .\trigger.ps1
Como alternativa, dê um duplo clique em run.cmd. Um shell deve abrir e
exibir nt authority\system.
Para recompilar os binários incluídos, instale as ferramentas de build do Visual Studio C++ e execute:
powershell.exe -ExecutionPolicy Bypass -File .\build.ps1
Testado no Windows 11 25H2 build 26200.8737.
O WalletService resolve FOLDERID_Documents enquanto se passa pelo chamador,
depois reverte para LocalSystem antes de abrir <Documents>\Wallet\wallet.db. Ele
aceita um banco de dados criado pelo chamador e habilita callbacks persistidos do ESE. Ao abrir
a tabela Cards, ele resolve o caminho de callback armazenado no esquema do banco de dados e
carrega a DLL especificada como SYSTEM.