CVE-2026-44011 Craft CMS प्रमाणित RCE PoC

केवल अधिकृत परीक्षण के लिए।

Craft CMS सलाहकार में >=4.0.0, <4.17.12 और >=5.0.0, <5.9.18 को प्रभावित के रूप में सूचीबद्ध किया गया है, और खोजकर्ता के रूप में precicom-vincent-tl को श्रेय दिया गया है।

चलाएँ

python -m pip install -r requirements.txt
python cve-2026-44011.py -b 'https://example.com' -u '<username' -p '<password>' -c '<command>'

आवश्यक तर्क:

-b, --base-url: Craft URL, जिसमें http:// या https:// शामिल है।
-u, --username: कंट्रोल-पैनल उपयोगकर्ता नाम।
-p, --password: कंट्रोल-पैनल पासवर्ड।
-c, --command: निष्पादित करने और आउटपुट कैप्चर करने के लिए कमांड।

वैकल्पिक तर्क:

-P, --cp-path: कंट्रोल-पैनल पथ (डिफ़ॉल्ट: /admin)।
-s, --site-id: साइट ID (डिफ़ॉल्ट: 1)।
-e, --element-type: एलिमेंट प्रकार (डिफ़ॉल्ट: craft\elements\Category)।
-f, --csrf-field: लॉगिन CSRF फ़ील्ड नाम (डिफ़ॉल्ट: CRAFT_CSRF_TOKEN)।
-t, --timeout: अनुरोध और कॉलबैक टाइमआउट सेकंड में (डिफ़ॉल्ट: 15)।
-F, --force: जब Craft संस्करण अनुपलब्ध हो या सलाहकार श्रेणियों से बाहर हो तो जारी रखें।
-H, --callback-host: वह पता जिस तक लक्ष्य पहुँच सकता है (डिफ़ॉल्ट रूप से स्थानीय पता अनुमानित; पिवट के पीछे इसे ओवरराइड करें)।
--listen-port: लिसनर पोर्ट (डिफ़ॉल्ट: OS-चयनित मुक्त पोर्ट; फ़ॉरवर्डिंग के लिए एक निश्चित पोर्ट सेट करें)।

भेद्यता विश्लेषण

1. कंडीशन इनपुट

भेद्य सर्च एक्शन में, condition POST बॉडी से ऑब्जेक्ट निर्माण में बिना सफाई के जाता है।

$conditionConfig = $this->request->getBodyParam('condition');
$condition = Craft::$app->getConditions()->createCondition($conditionConfig);

2. नेस्टेड फ़ील्ड लेआउट

ElementCondition::setFieldLayouts() प्रत्येक प्रदान किए गए ऐरे से एक लेआउट बनाता है।

if (is_array($fieldLayout)) {
    $fieldLayout['type'] = $this->elementType;
    return $fieldsService->createLayout($fieldLayout);
}

3. कॉल करने योग्य निष्पादन

सलाहकार पेलोड Yii के AttributeTypecastBehavior को as कुंजी के साथ संलग्न करता है और on * के साथ एक इवेंट वायर करता है। यह व्यवहार Yii के कॉल करने योग्य टाइपकास्ट के माध्यम से Psy\Readline\Hoa\ConsoleProcessus::execute तक पहुँचता है।

condition.fieldLayouts[]
  -> FieldLayout behavior + event
  -> AttributeTypecastBehavior::typecastValue()
  -> call_user_func()
  -> ConsoleProcessus::execute()

ठीक किया गया कंट्रोलर ऑब्जेक्ट निर्माण से पहले कंडीशन पर Component::cleanseConfig() लागू करता है।

नोट्स

Craft का CSRF दस्तावेज़ीकरण POST क्रियाओं के लिए एक वैध सत्र और टोकन की आवश्यकता होती है। स्क्रिप्ट उन्हें लॉगिन और सर्च के माध्यम से ले जाती है।
Psy का ConsoleProcessus::execute() डिफ़ॉल्ट रूप से शेल मेटाकैरेक्टर को एस्केप करता है। PoC -c चलाने के लिए एक अस्थायी स्क्रिप्ट परोसता है, बिल्ट-इन HTTP लिसनर पर उसका आउटपुट प्राप्त करता है, और बाद में लिसनर बंद कर देता है। यदि लक्ष्य अनुमानित पते तक नहीं पहुँच सकता तो -H का उपयोग करें।
आउटपुट कैप्चर के लिए लक्ष्य पर sh, curl, और mktemp की आवश्यकता होती है।
परीक्षण: python -m unittest discover -s tests -v।

CVE-2026-44011-craftcms-auth-rce

सबसे लोकप्रिय