CVE-2026-38526

ملخص

ثغرة أمنية في رفع الملفات التعسفي تتطلب مصادقة في نقطة النهاية /admin/tinymce/upload في Webkul Krayin CRM الإصدار v2.2.x تسمح للمهاجمين بتنفيذ كود تعسفي عبر رفع ملف PHP مُعدّ خصيصًا.

• PoC-CVE-2026-38526استغلال

  استغلال آلي لـ Krayin CRM ≤ 2.2.x.

• CVE-2026-38526-KrayinCRM-RCEاستغلال

  استغلال CVE-2026-38526 | بواسطة infrar3d

• CVE-2026-38526-PoCPoC

  CVE-2026-38526 | Krayin CRM v2.2.x RCE بعد المصادقة - رفع ملفات PHP دون قيود عبر TinyMCE

• CVE-2026-38526-POCPoC

  إثبات مفهوم لـ CVE-2026-38526 في Krayin CRM <= v2.2.x. رفع ملف عشوائي يؤدي إلى تنفيذ تعليمات برمجية عن بعد.

• CVE-2026-38526-PoC-htb-nexusPoC

  نص برمجي لإثبات المفهوم لـ CVE-2026-38526، تنفيذ أوامر عن بُعد عبر ثغرة رفع ملفات في نقطة النهاية /admin/tinymce/upload لـ webkul krayin 2.2.x

• CVE-2026-38526-KrayinCRMالبحث

  تحميل ملف عشوائي مُصادَق عليه يؤدي إلى تنفيذ تعليمات برمجية عن بُعد — تحليل تقني وإعادة إنتاج مُتحكَّم بها لـ CVE-2026-38526 في Webkul Krayin CRM 2.2.x.

• KrayinCRM-RCE-Exploit-CVE-2026-38526استغلال

  CVE-2026-38526 استغلال ثغرة في Krayin CRM الإصدار 2.2.x - تنفيذ أوامر عن بُعد (RCE) بعد المصادقة عبر تجاوز رفع ملفات TinyMCE. الميزات: شيل تفاعلي، حمولات متعددة الأنواع، إنشاء تلقائي للشيل، والتحقق. المؤلف: Sudeepa Wanigarathna. للاختبار المصرح به فقط.

• CVE-2026-38526استغلال

  استغلال إثبات المفهوم لتنفيذ كود عن بعد بمصادقة في Krayin CRM الإصدار 2.2.x عبر رفع ملف غير مقيد، يدعم حمولات web shell و reverse shell.

• CVE-2026-38526-Exploitاستغلال

  استغلال ثغرة تنفيذ الأوامر عن بعد بعد المصادقة (RCE) في Krayin CRM v2.2.x (CVE-2026-38526)

• Hack-The-Box-Nexus-Findings-Reportالبحث

  تقرير اختبار الاختراق HTB_Nexus – تقييم أمني شامل يوثق تسريب بيانات الاعتماد من Gitea، واستغلال ثغرة CVE-2026-38526 في Krayin CRM، وتصعيد الامتيازات عبر اجتياز الدليل في مزامنة قوالب Gitea. مرتبط بأُطر MITRE ATT&CK وNSA D3FEND مع خارطة طريق للمعالجة قابلة للتنفيذ وملحق كامل بالأدلة.

• Gitea-template-sync-Path-Traversal-Privilege-Escalation-CVE-2026-38526-PoC

  PoC وشرح لتصعيد الصلاحيات في HackTheBox "Nexus": خدمة مزامنة قوالب Gitea التي تعمل بصلاحيات root ومعرضة لاجتياز المسار عبر كائنات Git المزورة. للاستخدام التعليمي فقط.

• Krayin CRM v2.2.x - Authenticated Remote Code Executionاستغلال

  Diamorphine · multiple · 08‏/07‏/2026