CVE-2026-6875 Framework RCE Pré-Auth do ServiceNow 🔥 Injeção de JS → Escape de Sandbox → RCE → Root. Recursos: --detect, --exec, shell reverso/interativo, threading em lote, bypass de WAF, persistência, movimento lateral, dump de credenciais, execução sem arquivo, limpeza de rastros. 🛡️ CVSS 9.5 explorado ativamente. Somente uso autorizado e legal. Mantenha-se dentro da lei. 🔒
tc4dy/cve-2026-6875-poc-exploit
Framework de Exploração e Verificador Seguro
Apenas para testes de segurança autorizados.
Esta ferramenta é fornecida apenas para fins educacionais e de testes de penetração autorizados.
Os autores e contribuidores não são responsáveis por qualquer uso indevido ou dano causado por este software. Os usuários são os únicos responsáveis por garantir que possuem permissão escrita explícita do proprietário do alvo antes de testar. O acesso não autorizado a sistemas de computador é ilegal sob o Computer Fraud and Abuse Act (CFAA) e leis similares em todo o mundo.
Ao usar este software, você concorda em:
AVISO: Esta vulnerabilidade está sendo ativamente explorada em campo. O uso não autorizado pode resultar em graves consequências legais.
CVE-2026-6875 é uma vulnerabilidade crítica de Execução Remota de Código (RCE) não autenticada na ServiceNow AI Platform (anteriormente Now Platform). Ela permite que atacantes contornem o sandbox de scripts e executem comandos arbitrários do sistema com os privilégios da aplicação ServiceNow.
Injeção de JavaScript: O endpoint assessment_thanks.do aceita um parâmetro sysparm_assessable_type. Ao prefixar o valor com javascript:, um atacante injeta código JavaScript arbitrário.
Escape de Sandbox: Um sofisticado gadget de escape de sandbox (encadeando DiscoveryFunctions.getCacheObjectForTable, AbstractAjaxProcessor e Class.create) remove a restrição do sandbox de JavaScript.
Execução Remota de Código: O código Java injetado (via java.lang.Runtime.exec()) é executado com privilégios da aplicação ServiceNow, permitindo o comprometimento total do sistema.
Escalação de Privilégios: Módulos de pós-exploração tentam escalar para root via configurações incorretas de sudo, binários SUID, tarefas cron graváveis ou exploits de kernel.
| Atributo | Valor |
|---|---|
| [>] Descoberto | 1 de abril de 2026 (Searchlight Cyber) |
| [>] Pontuação CVSS | 9.5 (CRÍTICA) |
| [>] CISA KEV | Adicionado em 13 de julho de 2026 |
| [>] Produtos Afetados | ServiceNow AI Platform auto-hospedada |
| [>] Versões Corrigidas | Brazil EA/GA, Australia Patch 2, Zurich Patch 7b/9, Yokohama Patch 12 Hot Fix 1b/13 |
| [>] Autenticação | Não necessária (Pré-Autenticação) |
| [>] Exploração Ativa | Confirmada em campo (julho de 2026) |
exploit.py)O exploit completo weaponizado encadeia a injeção de JavaScript e o escape de sandbox para alcançar execução remota de código, com módulos avançados de pós-exploração para persistência, movimento lateral e extração de credenciais.
| Funcionalidade | Descrição |
|---|---|
| [+] Injeção de JavaScript | Injeta payload via parâmetro sysparm_assessable_type. |
| [+] Escape de Sandbox | Contorna o sandbox de scripts do ServiceNow para executar código Java arbitrário. |
| [+] Shell Interativo | Gera um shell ativo com suporte a múltiplos comandos. |
| [+] Escalação para Root | Verifica configurações incorretas de sudo, binários SUID e tarefas cron. |
| [+] Operações de Arquivo | Faz upload de webshells, lê/baixa arquivos via codificação base64. |
| [+] Varredura em Massa | Explora múltiplos alvos em massa com threading (flag -l). |
| [+] Detecção Segura | Flag opcional --detect para verificação não intrusiva de vulnerabilidade. |
| [+] Bypass de WAF | Técnicas de ofuscação integradas para evadir WAF/IDS (6 técnicas). |
| [+] Persistência | Instala backdoors via cron/systemd/schtasks. |
| [+] Movimento Lateral | Escaneia a rede local em busca de outros hosts vulneráveis e tenta propagação via SSH/SSRF. |
| [+] Limpeza de Rastros | Remove logs, histórico do bash e trilhas de auditoria. |
| [+] Execução Fileless | Usa Java ClassLoader para executar payloads residentes em memória sem gravar em disco. |
| [+] Servidor de Callback | Servidor HTTP integrado para receber saída de comandos (opcional). |
| [+] Notificações via Webhook | Envia resultados para uma URL personalizada (Slack, Discord, etc.). |
| [+] Multiplataforma | Suporta alvos Linux e Windows (cmd.exe / PowerShell). |
| [+] Thread-Safe | Usa mecanismos de bloqueio para operações concorrentes. |
| [+] Detecção de Versão | Detecta a versão do ServiceNow (Zurich/Brazil/Australia/Yokohama). |
| Comando | Descrição |
|---|---|
exec <cmd> | Executar comando do sistema |
upload <local> [remote] | Fazer upload de webshell para o alvo |
download <remote> | Baixar e exibir conteúdo do arquivo |
privesc | Tentar escalação de privilégios |
reverse <host> <port> | Enviar reverse shell |
dumpcred | Extrair credenciais das configurações do ServiceNow |
persist <host> <port> | Instalar persistência (cron/systemd/schtasks) |
lateral | Tentar movimento lateral |
clean | Limpar rastros (logs, histórico) |
memory <host> <port> | Executar payload Java fileless |
exit | Sair do shell interativo |
verifier.py)O verificador seguro realiza detecção não intrusiva de vulnerabilidade sem executar payloads prejudiciais ou fazer alterações no sistema.