CVE-2025-65271

PoC para CVE-2025-65271

¿Cómo ejecutar?

node server.js

Descripción

La inyección de plantillas del lado del cliente (CSTI) en el panel de administración de Azuriom CMS permite a un usuario con pocos privilegios ejecutar código de plantilla arbitrario en el contexto de la sesión de un administrador. Esto puede ocurrir a través de plugins o componentes del panel que renderizan entrada de usuario no confiable, potencialmente permitiendo la escalada de privilegios a una cuenta administrativa. Corregido en Azuriom 1.2.7

Aviso legal: LEER ANTES DE USAR

No soy responsable de ninguna acción tomada por otros que utilicen este PoC. Lo he proporcionado únicamente con fines de investigación y pruebas de seguridad. Desaliento explícitamente cualquier uso ilegal o no ético, incluyendo hacking no autorizado o explotación de sistemas. Úselo bajo su propio riesgo y en cumplimiento de las leyes aplicables.

Información adicional

No pregunte cómo obtener una RCE usando este PoC. He proporcionado este PoC solo con fines de seguridad y para mostrar el impacto de la vulnerabilidad

Referencias

• https://www.cve.org/CVERecord?id=CVE-2025-65271
• https://github.com/Azuriom/Azuriom
• https://github.com/Azuriom/Azuriom/commit/0289175547319add814dcb526e8ba034f1ebc3ec