精心构造的 application/qwik-json 请求可以引用服务端模块及导出的符号。受影响的 Qwik 版本可能通过运行时 require() 解析未注册的 QRL 并在无需认证的情况下调用它。此 PoC 尝试调用目标 node_modules 中已存在的兼容进程执行导出。

环境要求

操作者：

• Python 3。
• 能够访问处理 server$/Qwik JSON 请求的确切 Qwik 路由。
• 测试反向 Shell 功能时，需要一个目标可访问的监听器。

目标：

• 使用 @builder.io/qwik <= 1.19.0 的受影响 Qwik 部署。
• 运行时中提供 require()。
• node_modules 中可访问的兼容 gadget 模块与导出。
• 服务进程 PATH 中可用的 node。
• 执行所请求命令或文件操作所需的足够服务账户权限。

无需第三方 Python 包。

快速开始

无需发送请求即可列出内置 gadget：

运行主动标记探测并尝试所有内置 gadget：

[!IMPORTANT] --probe 并非被动的版本检测。它会尝试远程代码执行，并通过从目标进程打印标记来确认执行成功。

使用示例

执行命令：

读取 UTF-8 文本文件：

写入并验证 UTF-8 文本文件：

启动持久监听器后请求反向 Shell：

当自动操作系统检测不适用时，强制使用 Windows 反向 Shell 载荷：

该脚本不会启动监听器。--callback 预检查会在发送 Shell 载荷之前打开并关闭一个独立的 TCP 连接，因此请使用能够接受多个连接的监听器。

CLI 参考

操作模式在解析器中并非互斥。每次调用请仅使用 --probe、--CMD、--read、--write 或 --lhost 其中之一。

内置 Gadget

--gadget auto 会按所列顺序测试这些 gadget。也可以按如下方式提供自定义 gadget：

重要限制

• 探测结果为阴性并非目标已修补的证明。它可能表示路由不正确、gadget 缺失或不兼容、网络/TLS 错误、过滤或部署结构不同。
• 默认 gadget 是 cross-spawn.sync，而非自动发现。当目标依赖布局未知时，请使用 --gadget auto。
• 该工具没有用于 Cookie、授权头、代理或任意自定义头的选项。
• 文件操作面向文本。--read 期望 UTF-8，--write 不适用于二进制数据。
• 相对路径从 Qwik 进程的工作目录解析。所有操作均以 Qwik 服务账户的权限运行。
• 反向 Shell 的成功消息仅表示利用 HTTP 请求已被接受；它们并不证明已收到回调。
• --rev-all 可能在目标上启动多个进程或回调。请仅在隔离的实验室环境中使用。
• 进程退出码主要反映探测与传输处理，而非远程命令的退出状态或是否存在可用的 Shell。
• 该工具无法识别已安装的 Qwik 版本，不应作为依赖清单的替代品。

修复建议

将 @builder.io/qwik 升级至 1.19.1 或更高版本，更新锁文件，重新构建应用程序，并重新部署所有服务端构件。仅移除兼容的 gadget 并不能彻底修复 Qwik 的底层漏洞。

参考链接

• Qwik 安全公告 — GHSA-p9x5-jp3h-96mm
• GitHub 公告数据库 — CVE-2026-27971
• 已修复的 Qwik 1.19.1 发行版
• 上游修复提交
• CVE 记录
• NVD 条目

法律声明

本项目仅供安全研究、防御性验证和授权测试使用。未经明确许可，请勿对任何系统使用本项目。