CVE-2026-39387

Résumé

BoidCMS est un CMS open-source à fichiers plats basé sur PHP, conçu pour créer des sites web et des blogs simples, utilisant JSON comme base de données. Les versions antérieures à 2.1.3 sont vulnérables à une attaque critique d'inclusion locale de fichier (LFI) via le paramètre `tpl`, qui peut conduire à une exécution de code à distance (RCE).L'application ne parvient pas à assainir le paramètre `tpl` (template) lors de la création et de la mise à jour des pages. Ce paramètre est transmis directement à une instruction `require_once()` sans validation du chemin. Un administrateur authentifié peut exploiter cette faille en injectant des séquences de traversée de répertoire (`../`) dans la valeur `tpl` pour échapper au répertoire de thème prévu et inclure des fichiers arbitraires — en particulier, des fichiers du répertoire `media/` du serveur. Combinée à la fonctionnalité de téléversement de fichiers, cette faille devient une chaîne RCE complète : un attaquant peut d'abord téléverser un fichier contenant du code PHP intégré (par exemple, déguisé en données d'image), puis utiliser la vulnérabilité de traversée de répertoire pour inclure ce fichier via `require_once()`, exécutant ainsi le code intégré avec les privilèges du serveur web. Ce problème a été corrigé dans la version 2.1.3.

• CVE-2026-39387Exploit

  Exploit RCE BoidCMS <= 2.1.2