My-Exploits

我对四个广泛部署的平台服务所做的漏洞研究：Keycloak、Apache NiFi、HashiCorp Vault 和 HashiCorp Nomad。针对每一项发现，本仓库都收录了我实际使用的 write-once 制品：在合适的情况下提供一个 Metasploit 模块、一个独立的 Python 概念验证，以及一个小型 Docker 实验环境，该环境只启动存在漏洞的服务，以便任何人都能复现该漏洞，而不必仅凭我的说法。

这里的内容均不针对真实运行环境。实验环境是你自己主机上的一次性容器。

发现

CVE	组件	类别	受影响版本	Metasploit	PoC	实验环境
CVE-2026-18963	Keycloak	重置凭据粘性选择器账户接管	< 26.7.2	是	是	是
CVE-2026-39816	Apache NiFi	绕过执行代码门禁的 Tinkerpop / ExecuteGraphQuery Groovy RCE	2.0.0-M1 .. 2.8.0	是	是	是
CVE-2026-5006	HashiCorp Vault	模板化策略元数据斜杠注入（HCSEC-2026-32）	<= 2.0.3	是	是	是
CVE-2026-7474	HashiCorp Nomad	动态主机卷 plugin_id 路径遍历至 root（HCSEC-2026-15）	<= 2.0.0		是	是

目录结构

metasploit-custom-modules/   Metasploit 模块 + 模块文档，位于常规框架目录树中
exploits/                    每个 CVE 一个自包含的 Python PoC
docker-lab/                  每个 CVE 一个一次性 Docker 实验环境，仅启动存在漏洞的服务

上述三个目录各自都有详细的 README。简要说明：

• metasploit-custom-modules/ 可直接放入框架检出目录（或你的 ~/.msf4）。包含三个模块：Keycloak 账户接管、Vault 元数据斜杠注入，以及 NiFi RCE。
• exploits/ 是四个依赖较少的 Python 脚本，每个 CVE 一个。它们无需修改即可针对 对应的实验环境运行。
• docker-lab/ 是四个独立的实验环境。每个都固定使用最后一个存在漏洞的版本，配置好 该漏洞实际所需的一切（NiFi 需要 graph bundle，Nomad 需要真实的 Docker 引擎）， 仅此而已。没有额外参数，没有链式场景，只有漏洞本身。

复现某项发现

选择一个 CVE，启动其对应的实验环境，运行 PoC。例如 Keycloak：

cd docker-lab/keycloak-cve-2026-18963
docker compose up -d
cd ../..
python3 exploits/kc_ato_18963.py \
    --base http://127.0.0.1:8080 --realm larkspur \
    --victim j.okonkwo --newpass Chang3d-by-attacker!

其余三个遵循相同的模式。请先阅读各实验环境的 README，其中几个需要 --build 并等待一分钟进行配置。

披露

以上四项均已报告给各自的厂商，并已在上述版本中修复。 此处发布的所有内容均针对 docker-lab/ 中故意过时的镜像运行。 将其指向任何不属于你的目标，后果自负。

许可证

MIT。参见 LICENSE。