Lors de la pièce jointe de fichiers à un e-mail, le backend n'effectue pas correctement les vérifications suivantes :

• Validation de l'extension du fichier
• Vérification du type MIME
• Restriction contre les types de fichiers exécutables
• Assainissement ou blocage du code PHP
• Stockage en dehors d'un répertoire accessible publiquement

En raison de cela, l'application accepte les fichiers .php et les stocke directement dans le chemin accessible publiquement suivant :

Étant donné que ce répertoire est servi par le serveur web, le fichier PHP téléversé peut être exécuté simplement en visitant son URL.

Preuve de concept

Cette preuve de concept ne doit être utilisée que dans un environnement de test autorisé.

1. Connectez-vous à Krayin CRM.
2. Allez dans E-mail → Composer.
3. Téléversez un fichier .php comme pièce jointe.
4. Soumettez le formulaire d'e-mail.
5. Le fichier téléversé est stocké dans le chemin suivant :

6. L'accès à l'URL du fichier téléversé exécute la charge utile téléversée.

Requête

La requête suivante montre le processus de téléversement de pièce jointe d'e-mail.

Exemple de point de terminaison affecté :

La requête inclut la pièce jointe PHP téléversée.

Réponse

Le serveur stocke le fichier téléversé et renvoie un chemin de fichier accessible publiquement.

Exemple de chemin de fichier téléversé :

Exécution de code à distance

Une fois le fichier PHP téléversé, il peut être accédé directement depuis le navigateur.

Cela entraîne l'exécution à distance de la charge utile PHP téléversée.

PoC vidéo

[PoC vidéo]

https://cyber.spool.co.jp/wp-content/uploads/2026/04/RCE-krayin.mp4

Impact

Une exploitation réussie peut permettre à un attaquant de :

• Exécuter des commandes OS arbitraires
• Téléverser et exécuter des shells web
• Accéder, modifier ou supprimer des fichiers serveur
• Pivoter vers des ressources réseau internes
• Voler le contenu de la base de données
• Compromettre les données clients
• Prendre entièrement le contrôle du serveur CRM

Recommandations

Pour atténuer cette vulnérabilité, les mesures suivantes sont recommandées :

1. Restreindre les extensions de fichiers autorisées.
2. Valider les types MIME côté serveur.
3. Stocker les pièces jointes téléversées en dehors des répertoires accessibles publiquement.
4. Bloquer l'exécution des fichiers téléversés via les règles du serveur web.
5. Ajouter une validation stricte dans les contrôleurs backend.
6. Rejeter les types de fichiers exécutables tels que .php, .phtml, .phar et les extensions similaires.
7. Renommer les fichiers téléversés en utilisant des noms de fichiers générés sécurisés.
8. Appliquer des permissions de moindre privilège aux fichiers et répertoires téléversés.
9. Surveiller les répertoires de téléversement pour détecter les fichiers suspects.
10. Examiner toutes les pièces jointes téléversées existantes pour détecter les fichiers exécutables.

Références

• Avis de sécurité GitHub :
  https://github.com/krayin/laravel-crm/security/advisories/GHSA-4x7x-c646-39jw

• PoC vidéo :
  https://drive.google.com/file/d/1yBdvbrXGf9fsFckmK9zTe2v8_vDtdicH/view?usp=drive_web
  https://cyber.spool.co.jp/wp-content/uploads/2026/04/RCE-krayin.mp4

• Version Krayin CRM v2.1.6 :
  https://github.com/krayin/laravel-crm/releases/tag/v2.1.6

• Référence NVD :
  https://nvd.nist.gov/vuln/detail/CVE-2024-38529

Note du fournisseur / chercheur

CyberCrew est disponible pour fournir des détails supplémentaires, des informations de test ou une assistance supplémentaire si nécessaire.