george0papasotiriou/cve-2026-4040-race-condition-in-file-upload-leading-to-rceReproduz o CVE-2026-4040: servidor de upload Flask com condição de corrida TOCTOU e script de exploit demonstrando execução remota de código arbitrário.
# upload_server.py - File upload with race condition
from flask import Flask, request
import os, tempfile, time, threading
app = Flask(__name__)
UPLOAD_DIR = '/tmp/uploads'
os.makedirs(UPLOAD_DIR, exist_ok=True)
@app.route('/upload', methods=['POST'])
def upload():
file = request.files['file']
# Save to a temporary file
fd, tmp_path = tempfile.mkstemp(dir=UPLOAD_DIR)
file.save(tmp_path)
# Simulate validation (check extension)
if not file.filename.endswith('.txt'):
os.unlink(tmp_path)
return "Invalid extension", 400
# Race window: between save and move, attacker can execute the script
# In a real server, we'd move to safe name, but we simulate time delay
time.sleep(0.5) # vulnerability
final_path = os.path.join(UPLOAD_DIR, file.filename)
os.rename(tmp_path, final_path)
return "Uploaded", 200
if __name__ == '__main__':
app.run(port=5000)
Um endpoint de upload grava o arquivo enviado em um caminho temporário, valida a extensão e, em seguida, o move para um nome seguro após um atraso. Um invasor pode competir para acessar e executar o arquivo temporário antes da renomeação, alcançando a execução remota de código.
pip install flask
python upload_server.py
python exploit_race_upload.py