CVE-2026-39387 — رفع ملف مُصادَق عليه في BoidCMS إلى تنفيذ أوامر عن بُعد (RCE) عبر حقن القالب

الوصف

تمكّن BoidCMS <= 2.1.2 مهاجمًا مُصادَقًا من تحقيق تنفيذ أوامر عن بُعد (RCE) من خلال الجمع بين نقطتي ضعف:

1. رفع ملفات بدون قيود — تقبل نقطة نهاية رفع الوسائط ملفات بأنواع MIME خاصة بالصور (مثل image/gif) دون التحقق من المحتوى الفعلي للملف، مما يسمح بتخزين كود PHP مضمّن داخل ملف GIF على الخادم.
2. مسار قالب تعسفي — تقبل نقطة نهاية إنشاء الصفحة معامل tpl يتحكم فيه المستخدم ويُحلّ نسبةً إلى دليل القوالب دون تعقيم، مما يتيح اجتياز المسار (مثل ../../media/shell.gif) لتوجيه قالب الصفحة إلى الملف المرفوع.

عند عرض الصفحة المُعدّة، ينفّذ مفسّر PHP الحمولة المضمّنة.

البرامج المتأثرة

المتطلبات الأساسية

• بيانات اعتماد صالحة لحساب مسؤول في BoidCMS.

الاستخدام

python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>

المعاملات

مثال

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

بمجرد اكتمال الاستغلال، يتم توفير موجه أوامر تفاعلي (cmd >>) لتنفيذ الأوامر على المضيف البعيد.

خطوات الاستغلال

1. Login          →  POST /admin (with CSRF token)
2. Upload shell   →  POST /admin?page=media  (shell.gif containing PHP payload)
3. Create page    →  POST /admin?page=create (tpl=../../media/shell.gif)
4. Execute shell  →  GET /<permalink>?cmd=<command>

التبعيات

pip install requests

إخلاء المسؤولية

هذا الاستغلال مقدَّم لأغراض تعليمية ولاختبارات الأمان المصرح بها فقط. الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها يُعدّ غير قانوني وغير أخلاقي.

المراجع

• NVD — CVE-2026-39387
• BoidCMS