🔐 CVE-2025-32432 — Craft CMS RCE sin autenticación previa

📌 Descripción general

CVE-2025-32432 es una vulnerabilidad crítica de ejecución remota de código (RCE) sin autenticación previa que afecta a múltiples versiones de Craft CMS. Al encadenar el almacenamiento de datos de sesión sin sanitizar con un gadget de deserialización inseguro, un atacante no autenticado puede ejecutar comandos arbitrarios en el servidor remoto.

🎯 Versiones afectadas

⚠️ Todas las versiones anteriores que presenten el comportamiento de enrutamiento descrito también probablemente estén afectadas.

🧠 Detalles de la vulnerabilidad

La vulnerabilidad surge al encadenar dos debilidades distintas en el endpoint assets/generate-transform:

1️⃣ Almacenamiento de datos de sesión sin sanitizar

El comportamiento antiguo de enrutamiento escribe parámetros de consulta sin procesar directamente en el archivo de sesión PHP en /tmp/sess_<PHPSESSID>, sin sanitización ni filtrado.

2️⃣ Deserialización insegura

Una cadena de gadgets de deserialización de Yii (FieldLayoutBehavior → PhpManager) permite a un atacante forzar la inclusión de un archivo arbitrario — en este caso, el archivo de sesión envenenado.

Impacto combinado: Compromiso total del servidor, exfiltración de datos, movimiento lateral y más.

⚙️ Requisitos

• Python 3.7+
• requests
• urllib3

# Install via requirements file
pip install -r requirements.txt

# Or install directly
pip install requests urllib3

🚀 Uso

python exploit.py -u <target_url> -c "<command>" [options]

Argumentos

Ejemplos

# Auto-exploit — brute-forces Asset ID automatically
python exploit.py -u https://craft.example.com -c "id"

# With a known Asset ID — more reliable and faster
python exploit.py -u https://craft.example.com -c "cat /etc/passwd" -a 42

# Custom timeout + verbose output
python exploit.py -u https://craft.example.com -c "uname -a" -t 10 -v

🔬 Cómo funciona

Step 1 ──► Session Establishment
           Fetch homepage → obtain PHPSESSID cookie

Step 2 ──► Asset ID Resolution
           Provided via -a flag OR brute-forced (non-404 detection)

Step 3 ──► Session Poisoning
           Malicious GET request → raw PHP injected into /tmp/sess_<PHPSESSID>

Step 4 ──► RCE Trigger
           Crafted deserialisation payload → PhpManager includes session file
           → PHP executes → system command runs → output returned

💡 La salida del comando se imprime (primeros 2,000 caracteres). Para interacción completa, se recomienda una reverse shell.

📋 Archivo de requisitos

requirements.txt

requests>=2.31.0
urllib3>=2.0

⚖️ Descargo de responsabilidad

Esta herramienta está destinada únicamente a fines educativos y evaluaciones de seguridad autorizadas.

No la utilice contra ningún sistema sin el permiso explícito y por escrito del propietario del sistema.

El autor no asume ninguna responsabilidad por el mal uso o daño causado por esta herramienta. Al usar este software, usted acepta que es el único responsable de sus propias acciones y que cumplirá con todas las leyes locales, nacionales e internacionales aplicables.

👤 Créditos

📄 Licencia

Este proyecto se publica bajo la Licencia MIT — consulte el archivo LICENSE para más detalles.