CVE-2017-5941 — PoC de Desserialização Não Confiável (RCE) do node-serialize

⚠️ Apenas para laboratório / autoavaliação. Use apenas em sistemas que você possui ou está autorizado a testar.

Este repositório fornece:

• Um script PoC mínimo para reproduzir CVE-2017-5941 contra um aplicativo Node.js vulnerável que usa node-serialize <= 0.0.4.
• Dois vetores:
  • POST /api/deserialize (padrão)
  • Cookie profile para /profile (codificado em Base64; o servidor deve decodificar antes de unserialize())

O que é CVE-2017-5941?

• Componente: node-serialize (≤ 0.0.4)
• Fraqueza: Desserialização não confiável (CWE-502)
• Comportamento: Durante unserialize(), qualquer valor de string que comece com "_$$ND_FUNC$$_" é tratado como JavaScript executável (avaliado).
• Impacto: Se uma entrada não confiável atingir unserialize(), leva a Execução Remota de Código.

Exemplo de um valor malicioso:

{ "p": "_$$ND_FUNC$$_function(){ require('child_process').exec('id') }()" }