aykhan32/cve-2026-2898-funadmin-deserialization# PoC Python pour CVE-2026-2898 exploitant une désérialisation non sécurisée dans FunAdmin <=7.1.0-rc4, permettant une injection d'objets et une potentielle exécution de code à distance (RCE) via le paramètre cloud_account falsifié. Pour des tests autorisés uniquement.
FunAdmin <= 7.1.0-rc4 contient une vulnérabilité de désérialisation non sécurisée dans AuthCloudService::getMember.
Le paramètre cloud_account est passé à PHP unserialize() sans validation, permettant une injection d'objets contrôlée par l'attaquant.
FunAdmin 7.1.0-rc4 (laboratoire Docker)
python3 exploit.py --url http://target --payload <serialized_string>
Pour une utilisation éducative et des tests autorisés uniquement.
