CVE-2026-38526

Résumé

Une vulnérabilité de téléchargement arbitraire de fichiers, nécessitant une authentification, dans le point de terminaison /admin/tinymce/upload de Webkul Krayin CRM v2.2.x permet aux attaquants d'exécuter du code arbitraire en téléchargeant un fichier PHP spécialement conçu.

• PoC-CVE-2026-38526Exploit

  Exploit automatisé pour Krayin CRM ≤ 2.2.x.

• CVE-2026-38526-KrayinCRM-RCEExploit

  CVE-2026-38526 Exploit | par infrar3d

• CVE-2026-38526-PoCPoC

  CVE-2026-38526 | Krayin CRM v2.2.x RCE authentifiée - Téléversement de fichier PHP sans restriction via TinyMCE

• CVE-2026-38526-POCPoC

  Preuve de concept de la CVE-2026-38526 dans Krayin CRM <= v2.2.x. Téléversement arbitraire de fichiers menant à une exécution de code à distance.

• CVE-2026-38526-PoC-htb-nexusPoC

  Un script PoC pour CVE-2026-38526, RCE via une vulnérabilité de téléchargement de fichier dans le endpoint /admin/tinymce/upload de webkul krayin 2.2.x

• CVE-2026-38526-KrayinCRMRecherche

  Téléversement de fichier arbitraire authentifié menant à l'exécution de code à distance — Analyse technique et reproduction contrôlée de CVE-2026-38526 dans Webkul Krayin CRM 2.2.x.

• KrayinCRM-RCE-Exploit-CVE-2026-38526Exploit

  CVE-2026-38526 exploit pour Krayin CRM v2.2.x - RCE authentifié via contournement du téléchargement de fichiers TinyMCE. Caractéristiques : shell interactif, payloads multi-types, génération automatique de shell, et vérification. Auteur : Sudeepa Wanigarathna. Pour tests autorisés uniquement.

• CVE-2026-38526Exploit

  Preuve de concept d'exploitation pour exécution de code à distance authentifiée dans Krayin CRM v2.2.x via un téléchargement de fichier sans restriction, prenant en charge les charges utiles de type web shell et reverse shell.

• CVE-2026-38526-ExploitExploit

  Exploit pour l'exécution de code à distance authentifiée (RCE) dans Krayin CRM v2.2.x (CVE-2026-38526)

• Hack-The-Box-Nexus-Findings-ReportRecherche

  Rapport de test de pénétration HTB_Nexus – Évaluation complète de la sécurité documentant la fuite d'identifiants de Gitea, l'exploitation de CVE-2026-38526 dans Krayin CRM, et l'élévation de privilèges via le traversement de répertoire de synchronisation de modèles Gitea. Mappé aux cadres MITRE ATT&CK et NSA D3FEND avec une feuille de route de remédiation exploitable et une annexe de preuves complète.

• Gitea-template-sync-Path-Traversal-Privilege-Escalation-CVE-2026-38526-PoC

  PoC et write-up pour l'élévation de privilèges HackTheBox « Nexus » : service de synchronisation de templates Gitea exécuté en root, vulnérable à la traversée de chemin via des objets Git falsifiés. Usage éducatif uniquement.

• Krayin CRM v2.2.x - Authenticated Remote Code ExecutionExploit

  Diamorphine · multiple · 8 juil. 2026