xuwu-xuwu/cve-2026-68004Автономный PoC для неаутентифицированной RTMP-публикации на медиа-серверах SRS; проверяет уязвимость, поддерживает проверку побочного канала через HTTP API и позволяет проводить авторизованное тестирование на проникновение.
Этот репозиторий содержит технический отчёт и proof-of-concept для CVE-2026-68004 — проблемы неаутентифицированной публикации RTMP в развёртываниях OSSRS / SRS, где vhost.security отключён и не настроена другая аутентификация публикации.
| Файл | Назначение |
|---|---|
CVE_Report_SRS_Unauth_Publish.md | Отчёт об уязвимости |
poc_srs_unauth_publish.py | Автономный PoC на Python 3, использующий только стандартную библиотеку |
Запускайте это только против систем, на тестирование которых у вас есть разрешение.
python poc_srs_unauth_publish.py --host 127.0.0.1 --stream cve_2026_68004_poc
Уязвимая система:
[+] VULNERABLE: received NetStream.Publish.Start
С побочной проверкой через HTTP API:
python poc_srs_unauth_publish.py --host TARGET --check-api --json
Код возврата: 0 — публикация подтверждена, 2 — не подтверждена.
HongYuan Liu [email protected]