chyrp-lite-rce-poc

CVE-2026-53767 + CVE-2026-53768 - RCE autenticata in Chyrp Lite ≤ 2026.01 ("Iriomote")

Attacco concatenato: bypass della blocklist di uploads_path (CVE-2026-53768) + mancata validazione dell'estensione del file in admin_update_upload() (CVE-2026-53767) → Remote Code Execution come www-data

Panoramica

Chyrp Lite ≤ 2026.01 è vulnerabile a una catena di Remote Code Execution autenticata, sfruttabile da qualsiasi utente in possesso delle autorizzazioni change_settings ed edit_upload (predefinito: Administrator).

Utilizzo

python chyrp_rce_poc.py -h

usage: chyrp_rce_poc.py [-h] -u URL -U USERNAME -P PASSWORD [-c CMD] [-i]
                         [--config CONFIG] [--restore RESTORE]

Esecuzione di riconoscimento predefinita

python chyrp_rce_poc.py -u http://127.0.0.1/chyrp -U admin -P 'fJ945@5:3s8v+X:'   

Comando singolo

python chyrp_rce_poc.py -u http://127.0.0.1/chyrp -U admin -P 'fJ945@5:3s8v+X:' -c 'cat /etc/passwd'

Shell interattiva

python chyrp_rce_poc.py -u http://127.0.0.1/chyrp -U admin -P 'fJ945@5:3s8v+X:' -i

Catena di attacco

Passaggio 1 - Autenticazione

Passaggio 2 - Reindirizza uploads_path a tools/ (non nella blocklist)

immagine

immagine

Passaggio 3 - Sovrascrivi tools/docgen.php (nessun controllo dell'estensione sul file sostitutivo)

immagine

immagine

Passaggio 4 - Esecuzione

http://127.0.0.1/chyrp/tools/docgen.php?cmd=id

immagine

CVE-2026-53768 - Blocklist uploads_path incompleta

includes/controller/Admin.php valida uploads_path rispetto a una blocklist hardcoded:

admin | ajax | feathers | fonts | includes | modules | themes

La directory tools/ - inclusa in Chyrp Lite e contenente file .php eseguibili (docgen.php, gettext.php, triggers.php) - non è elencata. L'invio di uploads_path=tools supera la validazione e viene persistito in config.json.php.

CVE-2026-53767 - Mancata validazione dell'estensione in admin_update_upload()

upload_tester() (includes/helpers.php) controlla solo il codice di errore di upload PHP e la dimensione del file - non esegue alcuna validazione dell'estensione sul file sostitutivo. Il nome del file di destinazione viene preso da $_POST['file'] e risolto rispetto all'uploads_path corrente. Poiché tools/docgen.php esiste già (soddisfacendo il controllo is_file()), viene sovrascritto silenziosamente con contenuto arbitrario.

Nota: Il flag --config punta a config.json.php per il calcolo del token CSRF. Se il file non è leggibile localmente, lo script ripiega automaticamente sull'estrazione del token dalla risposta HTML.

Requisiti

• Python 3.x (solo stdlib - nessuna dipendenza esterna)
• Credenziali di amministratore per l'istanza Chyrp Lite target

Correzione

Aggiorna a una versione contenente il commit 1489dc9 o successivo.

Sono state applicate due correzioni indipendenti:

Correzione 1 - Aggiungi tools (e licenses) alla blocklist di uploads_path:

// Before
"/^$qdir((admin|ajax|feathers|fonts|includes|modules|themes)$qdir|$)/"

// After
"/^$qdir((admin|ajax|feathers|fonts|includes|licenses|modules|themes|tools)$qdir|$)/"

Correzione 2 - Valida l'estensione del file caricato rispetto alla whitelist in admin_update_upload():

$new_extension = strtolower(pathinfo($_FILES['upload']['name'], PATHINFO_EXTENSION));
$whitelist = upload_filter_whitelist();
if (!in_array($new_extension, $whitelist))
    error(__("Error"), __("File type is not allowed."), code: 422);

Riferimenti

• GHSA-8h86-c24h-5jp3 - Mancata validazione dell'estensione
• GHSA-r9w7-5h94-wq5x - Blocklist incompleta
• Commit di correzione 1489dc9
• iltosec.com - Analisi completa

Note legali

Questo PoC è rilasciato esclusivamente a scopo educativo e di ricerca. Utilizzalo solo contro sistemi di tua proprietà o per i quali disponi di esplicita autorizzazione scritta al test. L'autore non è responsabile per qualsiasi uso improprio.