CVE-2026-39387 — BoidCMS Authentifizierter Datei-Upload zu RCE via Template-Injection

Beschreibung

BoidCMS <= 2.1.2 erlaubt es einem authentifizierten Angreifer, Remote Code Execution (RCE) zu erreichen, indem zwei Schwachstellen kombiniert werden:

1. Uneingeschränkter Datei-Upload — der Medien-Upload-Endpunkt akzeptiert Dateien mit Bild-MIME-Typen (z.B. image/gif), ohne den tatsächlichen Dateiinhalt zu validieren, sodass in einer GIF-Datei eingebetteter PHP-Code auf dem Server gespeichert werden kann.
2. Arbiträrer Template-Pfad — der Seiten-Erstellungs-Endpunkt akzeptiert einen vom Benutzer gesteuerten tpl-Parameter, der relativ zum Themes-Verzeichnis ohne Bereinigung aufgelöst wird, was Path Traversal (z.B. ../../media/shell.gif) ermöglicht, um das Template einer Seite auf die hochgeladene Datei zu verweisen.

Wenn die präparierte Seite gerendert wird, führt der PHP-Interpreter die eingebettete Payload aus.

Betroffene Software

Voraussetzungen

• Gültige Anmeldedaten für ein BoidCMS-Administratorkonto.

Verwendung

python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>

Argumente

Beispiel

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

Sobald der Exploit abgeschlossen ist, wird eine interaktive Shell-Eingabeaufforderung (cmd >>) zur Befehlsausführung auf dem entfernten Host bereitgestellt.

Exploit-Ablauf

1. Login          →  POST /admin (mit CSRF-Token)
2. Shell hochladen →  POST /admin?page=media  (shell.gif mit PHP-Payload)
3. Seite erstellen →  POST /admin?page=create (tpl=../../media/shell.gif)
4. Shell ausführen →  GET /<permalink>?cmd=<command>

Abhängigkeiten

pip install requests

Haftungsausschluss

Dieser Exploit wird nur zu Bildungszwecken und für autorisierte Sicherheitstests bereitgestellt. Die unbefugte Nutzung gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Genehmigung zum Testen haben, ist illegal und unethisch.

Referenzen

• NVD — CVE-2026-39387
• BoidCMS