CVE-2026-39387 — BoidCMS Autenticado: Subida de Archivos a RCE mediante Inyección de Plantillas

Descripción

BoidCMS <= 2.1.2 permite a un atacante autenticado lograr la Ejecución Remota de Código (RCE) combinando dos vulnerabilidades:

1. Subida de archivos sin restricciones — el endpoint de subida de medios acepta archivos con tipos MIME de imagen (p. ej. image/gif) sin validar el contenido real del archivo, lo que permite que código PHP incrustado en un archivo GIF sea almacenado en el servidor.
2. Ruta de plantilla arbitraria — el endpoint de creación de páginas acepta un parámetro tpl controlado por el usuario que se resuelve de forma relativa al directorio de temas sin saneamiento, lo que permite el path traversal (p. ej. ../../media/shell.gif) para apuntar la plantilla de una página al archivo subido.

Cuando la página manipulada se renderiza, el intérprete de PHP ejecuta la carga útil incrustada.

Software Afectado

Requisitos Previos

• Credenciales válidas para una cuenta de administrador de BoidCMS.

Uso

python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>

Argumentos

Ejemplo

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

Una vez que el exploit se completa, se proporciona un prompt de shell interactivo (cmd >>) para la ejecución de comandos en el host remoto.

Flujo del Exploit

1. Login          →  POST /admin (con token CSRF)
2. Subir shell    →  POST /admin?page=media  (shell.gif con carga útil PHP)
3. Crear página   →  POST /admin?page=create (tpl=../../media/shell.gif)
4. Ejecutar shell →  GET /<permalink>?cmd=<comando>

Dependencias

pip install requests

Aviso Legal

Este exploit se proporciona únicamente con fines educativos y para pruebas de seguridad autorizadas. El uso no autorizado contra sistemas que no posees o para los que no tienes permiso explícito es ilegal y poco ético.

Referencias

• NVD — CVE-2026-39387
• BoidCMS