🔥 CVE-2026-5029 — Code Runner MCP Server RCE 漏洞

通过 run-code MCP 工具实现未授权远程代码执行

CVE-2026-5029 的概念验证（PoC）利用程序——Code Runner MCP Server 中的一个严重未授权远程代码执行漏洞，当服务器以 --transport http 运行时，可通过 run-code MCP 工具触发。

📋 漏洞概述

🧠 技术描述

Code Runner MCP Server 在通过 --transport http 标志启动时，会在 3088 端口上暴露一个 JSON-RPC /mcp 端点。该端点可在零认证情况下访问——无需 API 密钥、无需会话令牌、无需来源检查。

任何能够访问该端口的未授权远程攻击者都可以直接调用 run-code MCP 工具。该工具接受任意源代码和语言标识符，将其写入临时文件，并通过 child_process.exec() 使用相应的解释器（bash、python、powershell 等 30 多种）执行。

由于 code 参数在任何阶段都未经过滤处理，攻击者能够以运行 MCP 服务器的进程权限实现完全未授权的远程代码执行。

案例研究

https://medium.com/@phantom_hat/cve-2026-5029-unpatched-case-study-unauthenticated-remote-code-execution-rce-66c7706f2320

攻击流程

┌──────────┐   JSON-RPC tools/call    ┌───────────────────────┐   exec()   ┌──────────┐
│ Attacker │ ──── run-code tool ─────▶│  /mcp  (port 3088)    │ ─────────▶ │   RCE    │
│          │    (no auth needed)      │  Code Runner MCP      │            │  on Host │
└──────────┘                          └───────────────────────┘            └──────────┘

1. 侦察 — 连接到暴露的 /mcp 端点，枚举可用的 MCP 工具
2. Schema 发现 — 获取 run-code 工具的输入 schema（code、languageId）
3. 漏洞利用投递 — 发送包含攻击者控制的 code 的精心构造的 tools/call JSON-RPC 请求
4. 命令执行 — 服务器将 code 写入临时文件，并通过所选解释器执行

🗂️ 仓库结构

.
├── exploit.py           # 🎯 Interactive RCE exploit shell (Rich-based terminal UI)
└── README.md            # 📖 You are here

exploit.py — 交互式漏洞利用

主要漏洞利用脚本，专为安全评估和案例研究中的专业用途而构建。脚本会连接到目标 MCP 服务器并进入交互式 Shell，任何命令都会通过存在漏洞的 run-code 工具实时执行。

功能包括：

• 使用 Rich 实现干净、结构化的终端输出
• 交互式漏洞利用 Shell——输入命令、获取输出，往复进行，无需重新运行脚本
• 语言枚举——列出 MCP 服务器声明支持的所有语言
• 已安装语言探测——检查目标主机上实际存在哪些解释器
• 可通过 -l 选择执行语言（默认为 shellscript）
• Verbose 模式，提供详细的操作输出

⚙️ 安装

前提条件

• Python 3.8+
• pip 包管理器

安装步骤

# Clone the repository
git clone https://github.com/0x00phantom-hat/CVE-2026-5029-Exploit.git
cd CVE-2026-5029-RCE-Exploit

# Install dependencies
pip install fastmcp rich

🚀 使用方法

# Drop into an interactive RCE shell (default: shellscript)
python3 exploit.py -u http://TARGET:3088/mcp

# Use a specific language interpreter
python3 exploit.py -u http://TARGET:3088/mcp -l python

# List all languages the MCP server advertises support for
python3 exploit.py -u http://TARGET:3088/mcp --available

# Probe which language runtimes are actually installed on the target
python3 exploit.py -u http://TARGET:3088/mcp --installed -v

# Show the help menu
python3 exploit.py -h

连接成功后，漏洞利用程序会进入交互式提示符：

PhantomHat-MCP@Exploit-CVE-2026-5029 $ id

输入 exit 关闭会话。

命令行参数

📸 漏洞利用阶段

🔗 参考资料

• NVD： https://nvd.nist.gov/vuln/detail/CVE-2026-5029
• CERT.PL 公告： https://cert.pl/en/posts/2026/05/CVE-2026-5029
• 受影响项目： https://github.com/formulahendry/mcp-server-code-runner
• 漏洞汇聚点（server.ts）： https://github.com/formulahendry/mcp-server-code-runner/blob/main/src/server.ts

🛡️ 修复建议

• 切勿在任何可被网络访问的接口上运行 --transport http——请使用默认的 stdio 传输方式
• 如果必须使用 HTTP 传输，请严格绑定到 127.0.0.1，并将其置于经过身份验证的反向代理或 VPN 之后
• 在主机或网络层面对 3088 端口设置防火墙
• 以低权限、沙箱化用户身份运行服务器，或将其置于严格限制的容器中
• 监控异常的 run-code 调用和不寻常的子进程

⚠️ 免责声明

本工具仅用于经授权的安全测试和教育目的。

未经授权访问计算机系统属于违法行为，违反的法律包括《计算机欺诈与滥用法》（CFAA）、《计算机滥用法》以及全球范围内的类似法规。作者对本软件的滥用不承担任何责任。

仅可对您拥有或已获得明确书面授权的系统使用本工具。

作者： Phantom Hat

仅限经授权的渗透测试与安全研究使用。