CVE-2026-39387 — BoidCMS: caricamento file autenticato a RCE tramite Template Injection

Descrizione

BoidCMS <= 2.1.2 consente a un attaccante autenticato di ottenere l'esecuzione remota di codice (RCE) combinando due vulnerabilità:

1. Caricamento file senza restrizioni — l'endpoint di caricamento dei media accetta file con tipi MIME immagine (es. image/gif) senza validare il contenuto effettivo del file, consentendo al codice PHP incorporato in un file GIF di essere salvato sul server.
2. Percorso template arbitrario — l'endpoint di creazione delle pagine accetta un parametro tpl controllato dall'utente che viene risolto rispetto alla directory dei temi senza sanitizzazione, consentendo un path traversal (es. ../../media/shell.gif) per puntare il template di una pagina al file caricato.

Quando la pagina appositamente creata viene renderizzata, l'interprete PHP esegue il payload incorporato.

Software interessato

Prerequisiti

• Credenziali valide per un account amministratore di BoidCMS.

Utilizzo

python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>

Argomenti

Esempio

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

Una volta completato l'exploit, viene fornito un prompt shell interattivo (cmd >>) per l'esecuzione di comandi sull'host remoto.

Flusso dell'exploit

1. Login          →  POST /admin (with CSRF token)
2. Upload shell   →  POST /admin?page=media  (shell.gif containing PHP payload)
3. Create page    →  POST /admin?page=create (tpl=../../media/shell.gif)
4. Execute shell  →  GET /<permalink>?cmd=<command>

Dipendenze

pip install requests

Dichiarazione di non responsabilità

Questo exploit è fornito esclusivamente a scopo didattico e per test di sicurezza autorizzati. L'uso non autorizzato su sistemi di cui non si possiede la proprietà o per cui non si ha esplicita autorizzazione al test è illegale e non etico.

Riferimenti

• NVD — CVE-2026-39387
• BoidCMS