CVE-2026-38526 | Krayin CRM v2.2.x RCE autenticato - Caricamento di file PHP senza restrizioni tramite TinyMCE

Descrizione

CVE-2026-38526 è una vulnerabilità critica di esecuzione remota di codice autenticata che interessa Webkul Krayin CRM v2.2.x. La vulnerabilità risiede nell'endpoint di upload dei media di TinyMCE /admin/tinymce/upload, che non valida i tipi di file caricati. Un attaccante autenticato può caricare un file PHP malevolo ed eseguire comandi arbitrari sul server.

CVE: CVE-2026-38526
CVSS Score: 9.9 (Critico)
CWE: CWE-434 - Upload senza restrizioni di file con tipo pericoloso
Versione interessata: Krayin Laravel CRM v2.2.x
Vendor: Webkul

Dettagli tecnici

L'endpoint /admin/tinymce/upload accetta upload di file multipart per l'editor di testo ricco TinyMCE. Il server non esegue alcuna validazione sul tipo di file o sull'estensione caricata, consentendo a un attaccante di caricare una webshell PHP. Il file caricato viene salvato in una directory accessibile via web (/storage/tinymce/), di conseguenza una successiva richiesta GET al percorso del file induce l'interprete PHP a eseguire il payload.

Flusso di attacco:

Autenticarsi a Krayin CRM con un account valido qualsiasi
Caricare una webshell PHP su /admin/tinymce/upload con Content-Type: image/jpeg falsificato
Il server risponde con l'URL del file caricato
Una richiesta GET all'URL innesca l'esecuzione del codice come www-data

Requisiti

Python 3.x
libreria requests (pip install requests)
Credenziali valide per l'istanza Krayin CRM di destinazione

Utilizzo

Flag	Descrizione
`-t`	URL di destinazione
`-u`	Indirizzo email di accesso
`-p`	Password di accesso
`-c`	Comando del sistema operativo da eseguire sul target

git clone https://github.com/NathanHimself/CVE-2026-38526-PoC
cd CVE-2026-38526-PoC
chmod +x exploit.py
python3 exploit.py -t <target URL> -u <email> -p <password> -c <command>

Dichiarazione di non responsabilità

Questo strumento è destinato esclusivamente a test di penetrazione autorizzati e a fini educativi. Non utilizzarlo contro sistemi per i quali non si dispone di un'autorizzazione esplicita. L'autore non si assume alcuna responsabilità e non potrà essere ritenuto responsabile per usi impropri, danni o attività illegali derivanti dall'utilizzo di questo PoC.

Riferimenti