Специально сформированный запрос application/qwik-json может ссылаться на серверный модуль и экспортируемый символ. Уязвимые версии Qwik могут разрешать незарегистрированный QRL через require() во время выполнения и вызывать его без аутентификации. Данный PoC пытается обратиться к совместимому экспорту для выполнения процессов, уже присутствующему в node_modules цели.

Требования

Оператор:

• Python 3.
• Сетевой доступ к точному маршруту Qwik, который обрабатывает запрос server$/Qwik JSON.
• Прослушивающий порт (listener), доступный с целевой машины при тестировании функции reverse shell.

Цель:

• Уязвимое развертывание Qwik с использованием @builder.io/qwik <= 1.19.0.
• Среда выполнения, в которой доступен require().
• Совместимый модуль-gadget и экспорт, доступные в node_modules.
• node, доступный в PATH сервисного процесса.
• Достаточные права учетной записи сервиса для запрошенной команды или файловой операции.

Сторонние пакеты Python не требуются.

Быстрый старт

Список встроенных гаджетов без отправки запроса:

Запустить активную проверку с маркером и перебрать все встроенные гаджеты:

[!IMPORTANT] --probe — это не пассивное определение версии. Он пытается выполнить удаленный код и подтверждает это выводом маркера из процесса цели.

Примеры использования

Выполнить команду:

Прочитать UTF-8 текстовый файл:

Записать и проверить UTF-8 текстовый файл:

Запросить reverse shell после запуска постоянного listener'а:

Принудительно использовать Windows-полезную нагрузку reverse shell, когда автоматическое определение ОС не подходит:

Скрипт не запускает listener. Предварительная проверка --callback открывает и закрывает отдельное TCP-соединение перед отправкой полезной нагрузки shell, поэтому используйте listener, способный принимать более одного соединения.

Справочник по CLI

Режимы действий не являются взаимоисключающими в анализаторе аргументов. Используйте один из --probe, --CMD, --read, --write или --lhost за один вызов.

Встроенные гаджеты

Режим --gadget auto перебирает эти гаджеты в указанном порядке. Пользовательский гаджет можно задать следующим образом:

Важные ограничения

• Отрицательный результат проверки не является доказательством того, что цель пропатчена. Это может указывать на неверный маршрут, отсутствующий или несовместимый гаджет, сетевую/TLS-ошибку, фильтрацию или другое расположение развертывания.
• Гаджет по умолчанию — cross-spawn.sync, а не автоматическое обнаружение. Используйте --gadget auto, когда структура зависимостей цели неизвестна.
• Инструмент не имеет опций для cookies, заголовков авторизации, прокси или произвольных пользовательских заголовков.
• Файловые операции ориентированы на текст. --read ожидает UTF-8, а --write не предназначен для двоичных данных.
• Относительные пути разрешаются из рабочего каталога процесса Qwik. Все операции выполняются с правами учетной записи сервиса Qwik.
• Сообщения об успешном reverse shell означают, что эксплуатирующий HTTP-запрос был принят; они не доказывают, что обратный вызов был получен.
• --rev-all может запустить на цели несколько процессов или обратных вызовов. Используйте его только в изолированной лабораторной среде.
• Коды завершения процесса в первую очередь отражают обработку проверки и транспорта, а не статус завершения удаленной команды или наличие рабочего shell.
• Инструмент не определяет установленную версию Qwik и не должен использоваться как замена инвентаризации зависимостей.

Устранение уязвимости

Обновите @builder.io/qwik до версии 1.19.1 или новее, обновите lockfile, пересоберите приложение и повторно разверните все серверные артефакты. Удаление совместимого гаджета само по себе не является полным исправлением базовой уязвимости Qwik.

Ссылки

• Рекомендация по безопасности Qwik — GHSA-p9x5-jp3h-96mm
• База данных рекомендаций GitHub — CVE-2026-27971
• Исправленный релиз Qwik 1.19.1
• Коммит с исправлением в апстриме
• Запись CVE
• Запись NVD

Правовое уведомление

Этот проект предоставляется для исследований в области безопасности, защитной валидации и авторизованного тестирования. Не используйте его против систем без явного разрешения.