CVE-2026-39387 — BoidCMS में प्रमाणित फ़ाइल अपलोड से टेम्पलेट इंजेक्शन के माध्यम से RCE

विवरण

BoidCMS <= 2.1.2 एक प्रमाणित हमलावर को दो कमजोरियों को मिलाकर रिमोट कोड निष्पादन (RCE) प्राप्त करने की अनुमति देता है:

1. अप्रतिबंधित फ़ाइल अपलोड — मीडिया अपलोड एंडपॉइंट वास्तविक फ़ाइल सामग्री को सत्यापित किए बिना छवि MIME प्रकारों (जैसे image/gif) वाली फ़ाइलें स्वीकार करता है, जिससे GIF फ़ाइल में एम्बेडेड PHP कोड सर्वर पर संग्रहीत किया जा सकता है।
2. मनमाना टेम्पलेट पथ — पेज निर्माण एंडपॉइंट उपयोगकर्ता-नियंत्रित tpl पैरामीटर स्वीकार करता है जिसे बिना सैनिटाइज़ेशन के थीम निर्देशिका के सापेक्ष हल किया जाता है, जिससे पथ ट्रैवर्सल (जैसे ../../media/shell.gif) के माध्यम से पेज के टेम्पलेट को अपलोड की गई फ़ाइल पर इंगित किया जा सकता है।

जब तैयार किया गया पेज रेंडर होता है, तो PHP इंटरप्रेटर एम्बेडेड पेलोड को निष्पादित करता है।

प्रभावित सॉफ़्टवेयर

फ़ील्ड	मान
सॉफ़्टवेयर	BoidCMS
संस्करण	<= 2.1.2
CVE	CVE-2026-39387

पूर्वापेक्षाएँ

• BoidCMS व्यवस्थापक खाते के लिए मान्य क्रेडेंशियल।

उपयोग

python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>

तर्क

फ़्लैग	विवरण	उदाहरण
-u, --url	लक्षित BoidCMS साइट का आधार URL	http://target.com
-l, --user	व्यवस्थापक उपयोगकर्ता नाम	admin
-p, --passwd	व्यवस्थापक पासवर्ड	password123

उदाहरण

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

एक्सप्लॉइट पूरा होने के बाद, रिमोट होस्ट पर कमांड निष्पादन के लिए एक इंटरैक्टिव शेल प्रॉम्प्ट (cmd >>) प्रदान किया जाता है।

एक्सप्लॉइट प्रवाह

1. Login          →  POST /admin (with CSRF token)
2. Upload shell   →  POST /admin?page=media  (shell.gif containing PHP payload)
3. Create page    →  POST /admin?page=create (tpl=../../media/shell.gif)
4. Execute shell  →  GET /<permalink>?cmd=<command>

निर्भरताएँ

pip install requests

अस्वीकरण

यह एक्सप्लॉइट केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए प्रदान किया गया है। उन प्रणालियों के विरुद्ध अनधिकृत उपयोग जिनके स्वामी आप नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति नहीं है, अवैध और अनैतिक है।

संदर्भ

• NVD — CVE-2026-39387
• BoidCMS