CraftCMS CVE-2025-32432 - Clean PoC

Version nettoyée et améliorée du Proof of Concept original.

Crédits

• Recherche originale : Orange Cyberdefense & Chirag Artani
• Version nettoyée et améliorée : n40y

Licence

Ce projet est sous licence MIT.
Voir le fichier LICENSE pour plus de détails.

Disclaimer

Ce PoC est fourni uniquement à des fins éducatives et de tests autorisés (CTF, audits de sécurité avec permission écrite explicite).

Toute utilisation sur des systèmes sans autorisation est illégale. L’auteur décline toute responsabilité en cas de mauvaise utilisation.

Versions vulnérables

• Craft CMS 3.x : < 3.9.15
• Craft CMS 4.x : < 4.14.15
• Craft CMS 5.x : < 5.6.17

Améliorations apportées

• Suppression complète des commentaires en chinois
• Détection automatique de la version de Craft CMS
• Code restructuré et plus maintenable
• Meilleure gestion des erreurs et timeouts
• Messages clairs en français/anglais

Structure du projet

craftcms-cve-2025-32432-poc/
├── craftcms_rce_php_check.py
├── craftcms_final_payload.py
├── requirements.txt
├── README.md
├── LICENSE
└── .gitignore

Installation

git clone https://github.com/n40y/craftcms-cve-2025-32432-poc.git
cd craftcms-cve-2025-32432-poc

pip3 install -r requirements.txt

Usage:

1. Vérification rapide

python3 craftcms_rce_php_check.py -u https://target.com

# Ou avec une liste
python3 craftcms_rce_php_check.py -f urls.txt -t 10

2. Exploitation complète (RCE)

python3 craftcms_final_payload.py -u https://victim.com -c "id"

Options

-u, --url → URL cible (obligatoire)
-c, --cmd → Commande système à exécuter (obligatoire)
-a, --asset → AssetId valide connu (optionnel)
-s, --scan-max → Max assetId à scanner (défaut: 300)