CVE-2026-92592: Authentifizierte RCE in Craft CMS

Proof of Concept für CVE-2026-92592 / GHSA-5r92-75j8-c534. Craft signiert angreifergesteuerte Daten im authentifizierten License-Shun-Cookie mit demselben Schlüssel und Format, das für signierte Login-Weiterleitungen verwendet wird. Wird dieser signierte Wert als redirect wiederverwendet, rendert Craft ihn als nicht sandboxed Twig, wodurch Befehlausführung über das map('system')-Verhalten von Twig ermöglicht wird.

Betroffen sind Craft CMS 4.8.0 bis 4.18.5 und 5.0.0 bis 5.10.12. Führen Sie ein Upgrade auf 4.18.6 oder 5.10.13 oder höher durch. Craft 5.9.8 ist betroffen.

Verwenden Sie dies nur gegen Systeme, die Ihnen gehören oder für deren Test Sie autorisiert sind.

Voraussetzungen

• Python 3
• requests
• Ein Craft-Konto, das Passwortauthentifizierung verwendet und kein aktives 2FA hat
• Zugriff auf das Craft Control Panel
• Die Standardbeziehung zwischen cookieValidationKey und dem securityKey von Craft
• system(), sh und base64 auf dem Ziel verfügbar

Erstellen Sie eine isolierte Umgebung und installieren Sie das Python-Paket:

python3 -m venv .venv
source .venv/bin/activate
python -m pip install requests

Verwendung

Führen Sie den Exploit mit Ziel-URL, Benutzername, Passwort und Befehl aus:

python3 craftcms_rce.py \
  -t https://craft.example \
  -u author \
  -p 'password' \
  'id'

Passwörter auf der Kommandozeile können in der Shell-Historie und in Prozesslisten sichtbar sein. Verwenden Sie temporäre Test-Zugangsdaten. Übergeben Sie --proxy für einen HTTP-Debugging-Proxy und --insecure nur, wenn das Ziel ein Zertifikat verwendet, das nicht verifiziert werden kann.

stdout und stderr des Befehls werden zusammengeführt und auf stdout ausgegeben. Führen Sie python3 craftcms_rce.py --help aus, um alle Optionen anzuzeigen.

Funktionsweise

1. Ruft ein CSRF-Token von der Login-Seite des Control Panels ab und authentifiziert sich mit dem angegebenen Konto.
2. Ruft ein frisches CSRF-Token vom Dashboard des Control Panels ab.
3. Sendet eine Twig-Payload an app/set-license-shun-cookie und erfasst den signierten Cookie-Wert von Craft.
4. Übermittelt diesen Wert als redirect-Parameter in einer weiteren Login-Anfrage.
5. Extrahiert und dekodiert die Befehlsausgabe aus der gerenderten Weiterleitung.

Referenzen

• Craft CMS Advisory GHSA-5r92-75j8-c534
• NVD: CVE-2026-92592