CVE-2026-92592: Craft CMS प्रमाणित RCE

CVE-2026-92592 / GHSA-5r92-75j8-c534 के लिए प्रूफ ऑफ कॉन्सेप्ट। Craft प्रमाणित license-shun कुकी में हमलावर-नियंत्रित डेटा पर उसी कुंजी और प्रारूप से हस्ताक्षर करता है जिसका उपयोग हस्ताक्षरित लॉगिन रीडायरेक्ट के लिए किया जाता है। उस हस्ताक्षरित मान को redirect के रूप में पुनः उपयोग करने पर Craft उसे अनसैंडबॉक्स्ड Twig के रूप में रेंडर करता है, जिससे Twig के map('system') व्यवहार के माध्यम से कमांड निष्पादन संभव हो जाता है।

Craft CMS 4.8.0 से 4.18.5 तक और 5.0.0 से 5.10.12 तक प्रभावित हैं। 4.18.6 या 5.10.13 या उससे बाद के संस्करण में अपग्रेड करें। Craft 5.9.8 प्रभावित है।

इसका उपयोग केवल उन सिस्टम के विरुद्ध करें जिनके आप स्वामी हैं या जिनका परीक्षण करने के लिए आप अधिकृत हैं।

आवश्यकताएँ

• Python 3
• requests
• एक Craft खाता जो पासवर्ड प्रमाणीकरण का उपयोग करता है और जिसमें सक्रिय 2FA नहीं है
• Craft Control Panel तक पहुँच
• cookieValidationKey और Craft के securityKey के बीच डिफ़ॉल्ट संबंध
• लक्ष्य पर system(), sh, और base64 उपलब्ध होना

एक पृथक वातावरण बनाएँ और Python पैकेज इंस्टॉल करें:

python3 -m venv .venv
source .venv/bin/activate
python -m pip install requests

उपयोग

लक्ष्य URL, उपयोगकर्ता नाम, पासवर्ड और कमांड के साथ एक्सप्लॉइट चलाएँ:

python3 craftcms_rce.py \
  -t https://craft.example \
  -u author \
  -p 'password' \
  'id'

कमांड-लाइन पासवर्ड शेल इतिहास और प्रोसेस लिस्टिंग में दिखाई दे सकते हैं। अस्थायी परीक्षण क्रेडेंशियल्स का उपयोग करें। HTTP डिबगिंग प्रॉक्सी के लिए --proxy पास करें और --insecure का उपयोग केवल तब करें जब लक्ष्य ऐसा प्रमाणपत्र उपयोग करता हो जिसे सत्यापित नहीं किया जा सकता।

कमांड का stdout और stderr संयोजित करके stdout पर प्रिंट किए जाते हैं। सभी विकल्पों के लिए python3 craftcms_rce.py --help चलाएँ।

यह कैसे काम करता है

1. Control Panel लॉगिन पृष्ठ से एक CSRF टोकन प्राप्त करता है और दिए गए खाते से प्रमाणीकरण करता है।
2. Control Panel डैशबोर्ड से एक नया CSRF टोकन प्राप्त करता है।
3. app/set-license-shun-cookie पर एक Twig पेलोड भेजता है और Craft का हस्ताक्षरित कुकी मान कैप्चर करता है।
4. उस मान को एक अन्य लॉगिन अनुरोध में redirect पैरामीटर के रूप में सबमिट करता है।
5. रेंडर किए गए रीडायरेक्ट से कमांड आउटपुट निकालता है और डिकोड करता है।

संदर्भ

• Craft CMS सलाहकार GHSA-5r92-75j8-c534
• NVD: CVE-2026-92592